claude-code-backdoor-check

أداة فحص للقراءة فقط وقواعد كشف لإضافة [email protected] المُحصّنة بحصان طروادة.

[!WARNING] قدّم متجر Cursor إصدارًا لم تنشره Anthropic في 2026-10-29، 09:27–20:35 UTC. يزرع مفتاح SSH واستمرارية، ثم يفتح نفقًا عكسيًا إلى 134.209.82[.]225. التحديث إلى 2.1.314 يزيل الإضافة، لا ما زرعته.

_{أداة مجتمعية مستقلة من HappyHackingSpace. غير تابعة لـ Anthropic أو Cursor.}

المحتويات: البدء السريع · ما الذي تفحصه · قواعد الكشف · إذا حصلت على نتيجة إيجابية · حجب C2 · مؤشرات الاختراق · المراجع

البدء السريع

git clone https://github.com/happyhackingspace/claude-code-backdoor-check.git
cd claude-code-backdoor-check
bash check.sh           # fast scan
bash check.sh --deep    # + sshd log analysis (slower on macOS)

• ملف bash واحد، للقراءة فقط: بدون sudo، بدون شبكة، بدون عمليات كتابة.
• يعمل على macOS (bash 3.2+) وLinux.
• رموز الخروج: 0 نظيف · 1 تم العثور على مؤشرات · 2 خطأ في الاستخدام.

الأحكام

ما الذي يفحصه

[!NOTE] com.apple.sysmond هو أيضًا خادم نظام حقيقي من Apple. فقط النسخة الموجودة في نطاق المستخدم (~/Library/LaunchAgents) هي الخبيثة.

قواعد الكشف

لخطوط معالجة EDR/SIEM وللصيد على مستوى الأسطول. على عكس بقية هذا README، تحتوي ملفات القواعد على C2 غير مُعطَّل (un-defanged)، لأنها يجب أن تطابقه.

Sigma (rules/sigma/)

pip install sigma-cli
sigma plugin install splunk                     # or elasticsearch, microsoft365defender, …
sigma convert -t splunk --without-pipeline rules/sigma/

YARA (rules/yara/claude_code_backdoor.yar)

yara -r -s rules/yara/claude_code_backdoor.yar \
  ~/.cursor/extensions ~/.vscode/extensions ~/.config ~/.ssh ~/Library/LaunchAgents

[!TIP] تغطي قواعد Sigma أيضًا Windows (المهمة المجدولة، تثبيت OpenSSH)، وهو ما لا يفعله check.sh.

إذا حصلت على إصابة

[!CAUTION] تعيد آلية الاستمرارية فتح النفق كل 60 ثانية تقريبًا. احتوِ أولًا، ثم نظّف. تُوفّر Cursor أيضًا نصوصًا برمجية رسمية للمعالجة: راجع إشعار الأمان الخاص بها.

1. الاحتواء. افصل الجهاز عن الشبكة، أو احجب C2.

2. احفظ الأدلة قبل حذف أي شيء:

mkdir -p ~/ioc-evidence && cd ~/ioc-evidence
bash /path/to/check.sh --deep --no-color > scan.txt
cp -p ~/.ssh/authorized_keys ~/.ssh/known_hosts ~/.config/.smt ~/.config/.smtk . 2>/dev/null

[!IMPORTANT] .smtk هو مفتاح النفق الخاص بالمهاجم. احتفظ بمجلد الأدلة خاصًا.

3. التنظيف. أزل آلية الاستمرارية، أوقف النفق، واحذف الآثار:

C2="$(echo '134.209.82[.]225' | tr -d '[]')"

launchctl bootout gui/$(id -u)/com.apple.sysmond
rm -f ~/Library/LaunchAgents/com.apple.sysmond.plist
pkill -f "tunnel@$C2"; pkill -f 'autossh -M 0'; pkill -f '\.config/\.smt'
sed -i.bak '/svc-telemetry/d' ~/.ssh/authorized_keys
ssh-keygen -R "$C2"
rm -f ~/.config/.smt ~/.config/.smtk "$TMPDIR"/.stk_*
sudo systemsetup -setremotelogin off      # if you don't use SSH

crontab -l | grep -vE '\.config/\.smt|tunnel@' | crontab -
# disable and remove any systemd/autostart entries check.sh reported
pkill -f "tunnel@$C2"; pkill -f 'autossh -M 0'; pkill -f '\.config/\.smt'
sed -i.bak '/svc-telemetry/d' ~/.ssh/authorized_keys
ssh-keygen -R "$C2"
rm -f ~/.config/.smt ~/.config/.smtk /tmp/.stk_* /var/tmp/.stk_*
sudo systemctl disable --now ssh          # if you don't use SSH

4. استبدل الإضافة. أزل anthropic.claude-code-2.1.313* وثبّت الإصدار ≥ 2.1.314.

5. تحقّق. يجب أن يُرجع bash check.sh --deep رمز الخروج 0.

6. دوّر بيانات الاعتماد من جهاز آخر نظيف: مفاتيح SSH، ورموز git، ومفاتيح السحابة وواجهات API، ورموز السجلات (registry). ابدأ بالقائمة الواردة تحت [9/9].

7. أعد بناء الجهاز إذا كان C2 موجودًا في known_hosts أو إذا قَبِل sshd مفتاح المهاجم.

مكشوف لكن نظيف؟

شغّل مع --deep. دوّر على الأقل الأسرار المدرجة تحت [9/9]، لأن أسماءها جرى إرسالها في إشارات (beaconed). أبقِ C2 محجوبًا.

احجب C2

يتصل البرنامج الخبيث بعنوان IP مباشرةً، لذا لا تراه مرشّحات DNS (NextDNS، Pi-hole) أبدًا. احجبه عند جدار الحماية:

مؤشرات الاختراق (IOCs)