NIEUWS

IN HET KORT: Een ernstige supply chain-aanval heeft recentelijk duizenden ontwikkelaars wereldwijd in gevaar gebracht. Via een besmette versie van de officiële Claude Code-extensie in de marktplaats van de populaire Cursor-code-editor werd ongemerkt schadelijke software verspreid op ongeveer 5.000 ontwikkelaarsmachines. Dankzij een gelukstreffer in de vorm van gebrekkige code en ontbrekende beheerdersrechten werdgeremd dat de daders zich volledig konden nestelen, maar het incident legt wel een pijnlijke kwetsbaarheid in de moderne ontwikkelaarsomgeving bloot.

Wat hield de aanval in?

Het incident vond plaats toen een kwaadwillende actor erin slaagde om een getrojaniseerde versie van de extensie te publiceren. Zodra een ontwikkelaar de vertrouwde ontwikkelomgeving opende en de extensie automatisch liet updaten, werd de malafide code onmiddellijk uitgevoerd zonder dat daar enige interactie of goedkeuring voor nodig was.

De ingebouwde payload ging direct aan de slag met het verzamelen van waardevolle gegevens. Zo werd de publieke IP-adresinformatie opgehaald, zocht de malware naar gevoelige omgevingsvariabelen (zoals tokens en sleutels voor cloudplatformen) en werd er getracht om persistente achterdeurtjes aan te leggen. Dit gebeurde onder andere door een externe SSH-sleutel toe te voegen aan het systeem, zodat de aanvallers op termijn op afstand toegang konden verkrijgen tot de werkplek.

Een gelukstreffer voorkomt volledige overname

Ondanks dat de besmetting op duizenden systemen terechtkwam, liep de aanval voor een groot deel van de slachtoffers met een sisser af dankzij programmeerfouten in de malware zelf en de standaard beveiligingsinstellingen van besturingssystemen zoals macOS en Windows.

Om de SSH-toegang volledig te activeren, is op veel systemen administrator-toegang vereist. Omdat de meeste ontwikkelaars hun IDE niet met rootrechten draaien, liep de configuratie van de achterdeur op een mislukking uit. Daarnaast zorgden technische fouten in de scriptlogica ervoor dat de automatische verbinding met de externe C2-server (command-and-control) vaak stukliep.

Hierdoor konden de aanvallers in veel gevallen geen actieve sessie of reverse tunnel opbouwen. Desondanks werden hostgegevens wel degelijk doorgesluisd en bleken de onbevoegde SSH-sleutels wel degelijk op de schijven te zijn geplaatst. Alleen het openen van de digitale achterdeur werd succesvol tegengehouden.

De risico's van moderne ontwikkel-tools

Het incident benadrukt hoe kwetsbaar de hedendaagse softwareketen is. Ontwikkelaarsmachines zijn voor cybercriminelen extreem lucratieve doelwitten omdat ze nagenoeg altijd gekoppeld zijn aan bedrijfskritische broncode, productieomgevingen en API-sleutels van cloudomgevingen.

Het automatisch updaten van extensies, dat het leven van developers comfortabel moet maken, werd in dit scenario ingezet als het perfecte paard van Troje. Eén enkele corrupte update was voldoende om duizenden werkstations te infiltreren.

Experts raden organisaties aan om goed te controleren of hun systemen in de betreffende periode zijn blootgesteld aan de malafide versies. Het simpelweg verwijderen van de extensie is onvoldoende; beheerders moeten actief zoeken naar achtergebleven SSH-sleutels zoals svc-telemetry, hardnekkige achtergrondprocessen stopzetten en kritische inloggegevens direct roteren.