Cursor เปิดเผยเหตุส่วนขยาย Anthropic.claude-code รุ่น 2.1.312 และ 2.1.313 สำหรับ Windows และ macOS ถูกดัดแปลงเป็นมัลแวร์ใน Cursor VS Code Extension Marketplace โดยระบุชัดว่าแพ็กเกจอันตรายไม่ได้พัฒนาโดย Anthropic [1]
ใครควรตรวจสอบทันที
ประกาศฉบับปรับปรุง 30 ตุลาคมระบุช่วงแจกจ่ายวันที่ 29 ตุลาคม เวลา 02:27–13:35 น. PT หรือประมาณ 16:27 น. วันที่ 29 ถึง 03:35 น. วันที่ 30 ตุลาคมตามเวลาไทย ทีมที่ติดตั้งหรืออัปเดตรุ่นดังกล่าวจากช่องทางนี้ควรตรวจประวัติการติดตั้งและ endpoint telemetry [1]
โค้ดพยายามเพิ่ม SSH key ของผู้โจมตี สร้าง reverse tunnel และกลไกให้ทำงานต่อหลังเปิดเครื่อง แม้ข้อผิดพลาดในมัลแวร์และข้อจำกัดสิทธิ์ทำให้การเปิด SSH ล้มเหลวในหลายกรณี แต่ผู้ผลิตยังให้ดำเนินการตรวจและแก้ไข ผู้ผลิตถอนแพ็กเกจ ตรวจ marketplace หมุนเวียนกุญแจ และประสานปิดเซิร์ฟเวอร์ของผู้โจมตีแล้ว [1]
ผลกระทบต่อองค์กรไทย — มุมมอง ALPHASEC
เครื่องนักพัฒนามักเข้าถึง source code, cloud credentials และระบบ CI/CD จึงควรประเมินสิทธิ์ที่เครื่องนั้นเข้าถึงได้ร่วมกับร่องรอยจริง โดยไม่สรุปว่าทุกเครื่องถูกขโมย credentials หรือเข้าควบคุมสำเร็จ
แนวทางดำเนินการ
- ตรวจชื่อแพ็กเกจ รุ่น แหล่งดาวน์โหลด และช่วงติดตั้ง ใช้ IOC/แฮชจากประกาศ Cursor ร่วมกับข้อมูล EDR และเครือข่าย
- ตรวจ SSH key ที่มีคำกำกับ
svc-telemetryและกลไก persistence ที่ประกาศระบุ การไม่พบตัวบ่งชี้เพียงตัวเดียวไม่เพียงพอที่จะสรุปว่าเครื่องปลอดภัย - แยกเครื่องที่มีหลักฐานทำงานของ payload เก็บหลักฐาน และใช้ขั้นตอน remediation จากผู้ผลิต เพราะการถอนส่วนขยายอาจเหลือสคริปต์ที่ทำงานต่อ
- เปลี่ยน credentials และเพิกถอน sessions ที่เครื่องได้รับผลเข้าถึงได้จากเครื่องที่เชื่อถือได้ ประเมินการสร้างเครื่องใหม่ร่วมกับทีมตอบสนองเหตุ
- กำหนดรายการส่วนขยายที่อนุญาตและติดตามการเปลี่ยนรุ่นในเครื่องพัฒนา แยกสิทธิ์ production ออกจากสภาพแวดล้อมพัฒนา
ข่าวนี้เป็นเหตุแพ็กเกจอันตรายในช่องทางแจกจ่าย ไม่ใช่ประกาศช่องโหว่ที่มีรุ่นแพตช์หรือคะแนน CVSS การเลือกรุ่นใหม่ต้องอ้างอิงช่องทางทางการของผู้ผลิต [1]
แหล่งอ้างอิง
ตรวจต้นทาง 1 พฤศจิกายน 2569 เวลา 19:12–19:22 น. ไทย