كشف باحثون في الأمن السيبراني أن نسخة مفخخة من إضافة كلود كود الرسمية التابعة لشركة أنثروبيك جرى توزيعها عبر متجر إضافات محرر كيرسر على أنها تحديث شرعي، في محاولة لزرع باب خلفي دائم عبر بروتوكول SSH على الأجهزة المتأثرة. وأجبر الحادث شركة كيرسر على إغلاق متجرها مؤقتاً لإزالة الحزمة المخترقة، فيما لا تزال الطريقة التي تمكن بها المهاجمون من إدخال هذا التحديث غير المصرح به مجهولة حتى الآن.
كيف وصلت نسخة كلود كود المخترقة إلى متجر كيرسر؟
حملت النسخة الخبيثة الرقم 2.1.313، وجرى نشرها تحت هوية الناشر الأصلي للإضافة، وهو ما يجعل الأمر أخطر من مجرد إضافة مزيفة تنتحل الاسم. فقد استخدم المهاجمون معرّف الإضافة الرسمي نفسه، وهو anthropic.claude-code، بدلاً من إنشاء إضافة منفصلة، ما جعل التحديث يبدو مشروعاً تماماً في نظر المحرر والمستخدمين.
وقالت كيرسر في بيان إنها رصدت حادثاً أمنياً طال نسخة معدلة من إضافة كلود كود لمحرر فيجوال ستوديو كود، جرى الوصول إليها عبر متجرها، وأثّر على خمسة آلاف مستخدم على الأكثر. وأكدت أن النسخة الخبيثة لم تُطوَّر من قبل أنثروبيك، ولا تؤثر في بقية الإضافات المحمّلة من متجرها ولا في منتجاتها الأخرى. غير أن هذا التوضيح لا يعالج جوهر المشكلة، فالمهاجمون وزّعوا الحزمة تحت المعرّف الرسمي، ما يعني أن الثقة الممنوحة للناشر الشرعي هي ما جرى استغلاله.
وأوضحت جِن غايل، المؤسسة المشاركة لمشروع أوبن سورس مالوير، أن الحزمة تعرّف نفسها على أنها الإضافة الرسمية بالإصدار 2.1.313، لكن ملف الجافاسكربت الرئيسي فيها يتضمن محمّلاً خبيثاً من 66 سطراً أُدرج قبل الشيفرة الشرعية للإضافة. ولم تظهر أدلة على وصول هذه النسخة إلى متجر أوبن في إس إكس أو إلى متجر مايكروسوفت الرسمي لفيجوال ستوديو كود، ولا يُعرف أن مستخدمي هذين المتجرين تأثروا بالحادث. وحتى 30 أكتوبر 2026 أُزيلت النسخة الخبيثة، ونشرت أنثروبيك الإصدار 2.1.314 في المتجرين المذكورين.
آلية عمل الباب الخلفي والثبات على الجهاز
صُممت الإضافة المفخخة لتنشط بعد تشغيل فيجوال ستوديو كود وعند فتح واجهة الويب الخاصة بها. وبعدها تضيف مفتاحاً يتحكم فيه المهاجم إلى ملف authorized_keys الموجود ضمن مجلد ssh في الدليل الرئيسي للمستخدم، وقد وُسم المفتاح باسم svc-telemetry لإيهام من يراجعه بأنه مكوّن بريء يخص خدمات القياس عن بعد.
ثم تحاول الشيفرة جعل الضحية قابلة للوصول عبر SSH على أنظمة ويندوز ولينكس وماك، وتنشئ نفقاً عكسياً نحو العنوان 134.209.82.225، وتثبّت آلية بقاء خاصة بكل نظام، تتمثل في مهمة مجدولة على ويندوز، وملف كرون على لينكس، وعنصر إطلاق تلقائي على ماك. كما ترسل بيانات استطلاعية عن الجهاز إلى العنوان نفسه عبر المنفذ 8099 بطلب HTTP غير مشفر.
وأشارت كيرسر في تحليلها الخاص إلى أن تشغيل خدمة SSH المحلية يتطلب صلاحيات إدارية لا تملكها الإضافة الخبيثة في معظم أجهزة ماك وويندوز، وبالتالي تفشل هذه الخطوة ولا يستطيع المهاجم تسجيل الدخول عبر النفق على تلك الأجهزة. ومع ذلك فإن الإضافة تواصل إضافة مفتاح المهاجم وتثبيت آلية البقاء وإرسال تفاصيل الجهاز، ولهذا شددت الشركة على اتباع خطوات المعالجة في جميع الحالات.
البيانات المسروقة وحجم المستخدمين المتضررين
تشمل البيانات التي تجمعها الإضافة عنوان بروتوكول الإنترنت العام للجهاز المأخوذ من خدمة ipify، واسم الجهاز واسم المستخدم المحلي، ونظام التشغيل ومعمارية المعالج، والدليل الرئيسي ودليل العمل الحالي، وبريد غيت العام المضبوط على الجهاز، وأسماء ما يصل إلى 40 متغير بيئة تحتوي على كلمات مثل KEY وTOKEN وSECRET وPASS وAWS وGCP.
وبيّن الباحث الأمني بول ماكارتي أن قيم متغيرات البيئة لا تُرسل مباشرة ضمن الإشارة الأولى، لكن أسماءها وحدها قد تكشف مزودي الخدمات السحابية وأنظمة التكامل المستمر وأنواع بيانات الاعتماد المضبوطة على الجهاز. والأهم من ذلك أن نجاح الوصول عبر SSH سيتيح للمشغّل فحص الحساب مباشرة. ولم تُرصد حتى الآن حمولات لاحقة، لكن النفق العكسي يوفر مساراً إلى خدمة SSH لدى الضحية، يتيح للمهاجم تنفيذ الأوامر أو نقل الملفات.
وذكرت كيرسر أن المتأثرين هم من ثبّتوا النسخة الخبيثة خلال نافذة زمنية امتدت تقريباً من الساعة 2:27 صباحاً حتى 1:35 ظهراً بتوقيت المحيط الهادئ يوم 29 أكتوبر 2026، وأنها ستتواصل مع المستخدمين المتضررين مباشرة. وقالت غايل إن النسخة سُحبت سريعاً جداً، لكن كل من فعّل التحديث التلقائي لإضافة كلود كود كان معرضاً لتلقي البرمجية الخبيثة. وينصح المستخدمون الذين ثبّتوا الإضافة المخترقة خلال تلك الفترة بعزل الأجهزة، وإزالة مفتاح SSH غير المصرح به وآليات البقاء، وتدوير بيانات الاعتماد والجلسات.
وتأتي هذه الواقعة بعد نحو أسبوع من حادثة أخرى استبدل فيها مهاجم مجهول الملفات التنفيذية لخمسة إصدارات منشورة سابقاً من أداة سطر الأوامر الرسمية لشركة أو في إتش كلاود، بعد رفعها عبر حساب غيت هب لمساهم شرعي في المشروع جرى الاستيلاء عليه في مارس 2026 ضمن عملية غلاس وورم، وحملت الملفات الجديدة برمجية خبيثة لسرقة الأسرار.
