claude-code-backdoor-check

ट्रोजनयुक्त [email protected] एक्सटेंशन के लिए रीड-ओनली स्कैनर और डिटेक्शन नियम।

[!WARNING] Cursor मार्केटप्लेस ने 2026-10-29, 09:27–20:35 UTC को एक ऐसा बिल्ड परोसा जो Anthropic द्वारा प्रकाशित नहीं था। यह एक SSH कुंजी और पर्सिस्टेंस लगाता है, फिर 134.209.82[.]225 तक एक रिवर्स टनल खोलता है। 2.1.314 में अपडेट करने से एक्सटेंशन हट जाता है, लेकिन उसने जो लगाया है वह नहीं।

_{HappyHackingSpace द्वारा स्वतंत्र कम्युनिटी टूल। Anthropic या Cursor से संबद्ध नहीं।}

विषय-सूची: क्विक स्टार्ट · यह क्या जाँचता है · डिटेक्शन नियम · अगर आपको कोई हिट मिले · C2 को ब्लॉक करें · IOCs · संदर्भ

क्विक स्टार्ट

git clone https://github.com/happyhackingspace/claude-code-backdoor-check.git
cd claude-code-backdoor-check
bash check.sh           # fast scan
bash check.sh --deep    # + sshd log analysis (slower on macOS)

• एक bash फ़ाइल, केवल-पढ़ने के लिए: कोई sudo नहीं, कोई नेटवर्क नहीं, कोई लेखन नहीं।
• macOS (bash 3.2+) और Linux पर चलता है।
• एग्ज़िट कोड: 0 स्वच्छ · 1 संकेतक मिले · 2 उपयोग त्रुटि।

निर्णय

यह क्या जाँचता है

[!NOTE] com.apple.sysmond एक वास्तविक Apple सिस्टम डेमॉन भी है। केवल उपयोगकर्ता डोमेन (~/Library/LaunchAgents) में मौजूद प्रति ही दुर्भावनापूर्ण है।

डिटेक्शन नियम

EDR/SIEM पाइपलाइनों और फ़्लीट-व्यापी हंटिंग के लिए। इस README के बाकी हिस्से के विपरीत, नियम फ़ाइलों में C2 un-defanged है, क्योंकि उन्हें उससे मेल खाना होता है।

Sigma (rules/sigma/)

pip install sigma-cli
sigma plugin install splunk                     # or elasticsearch, microsoft365defender, …
sigma convert -t splunk --without-pipeline rules/sigma/

YARA (rules/yara/claude_code_backdoor.yar)

yara -r -s rules/yara/claude_code_backdoor.yar \
  ~/.cursor/extensions ~/.vscode/extensions ~/.config ~/.ssh ~/Library/LaunchAgents

[!TIP] Sigma नियम Windows (scheduled task, OpenSSH install) को भी कवर करते हैं, जिसे check.sh नहीं करता।

यदि आपको कोई हिट मिले

[!CAUTION] Persistence लगभग हर 60 सेकंड में tunnel को फिर से खोलता है। पहले contain करें, फिर साफ़ करें। Cursor आधिकारिक remediation स्क्रिप्ट भी प्रदान करता है: इसकी security notice देखें।

1. Contain करें। मशीन को ऑफ़लाइन लें, या C2 को ब्लॉक करें।

2. कुछ भी हटाने से पहले साक्ष्य सुरक्षित रखें:

mkdir -p ~/ioc-evidence && cd ~/ioc-evidence
bash /path/to/check.sh --deep --no-color > scan.txt
cp -p ~/.ssh/authorized_keys ~/.ssh/known_hosts ~/.config/.smt ~/.config/.smtk . 2>/dev/null

[!IMPORTANT] .smtk हमलावर की निजी टनल कुंजी है। साक्ष्य फ़ोल्डर को निजी रखें।

3. सफ़ाई करें। पर्सिस्टेंस हटाएँ, टनल को बंद करें, आर्टिफ़ैक्ट्स को हटाएँ:

C2="$(echo '134.209.82[.]225' | tr -d '[]')"

launchctl bootout gui/$(id -u)/com.apple.sysmond
rm -f ~/Library/LaunchAgents/com.apple.sysmond.plist
pkill -f "tunnel@$C2"; pkill -f 'autossh -M 0'; pkill -f '\.config/\.smt'
sed -i.bak '/svc-telemetry/d' ~/.ssh/authorized_keys
ssh-keygen -R "$C2"
rm -f ~/.config/.smt ~/.config/.smtk "$TMPDIR"/.stk_*
sudo systemsetup -setremotelogin off      # if you don't use SSH

crontab -l | grep -vE '\.config/\.smt|tunnel@' | crontab -
# disable and remove any systemd/autostart entries check.sh reported
pkill -f "tunnel@$C2"; pkill -f 'autossh -M 0'; pkill -f '\.config/\.smt'
sed -i.bak '/svc-telemetry/d' ~/.ssh/authorized_keys
ssh-keygen -R "$C2"
rm -f ~/.config/.smt ~/.config/.smtk /tmp/.stk_* /var/tmp/.stk_*
sudo systemctl disable --now ssh          # if you don't use SSH

4. एक्सटेंशन बदलें। anthropic.claude-code-2.1.313* को हटाएँ और ≥ 2.1.314 इंस्टॉल करें।

5. सत्यापित करें। bash check.sh --deep का एक्ज़िट कोड 0 होना चाहिए।

6. किसी अन्य, स्वच्छ मशीन से क्रेडेंशियल रोटेट करें: SSH कुंजियाँ, git टोकन, क्लाउड और API कुंजियाँ, रजिस्ट्री टोकन। [9/9] के अंतर्गत दी गई सूची से शुरू करें।

7. यदि C2 known_hosts में है या sshd ने हमलावर की कुंजी स्वीकार कर ली है, तो मशीन को फिर से बनाएँ (rebuild करें)।

उजागर लेकिन स्वच्छ?

--deep के साथ चलाएँ। कम से कम [9/9] के अंतर्गत सूचीबद्ध सीक्रेट्स को रोटेट करें, क्योंकि उनके नाम बीकन किए गए थे। C2 को ब्लॉक रखें।

C2 को ब्लॉक करें

इम्प्लांट सीधे IP से कनेक्ट होता है, इसलिए DNS फ़िल्टर (NextDNS, Pi-hole) इसे कभी नहीं देखते। इसे फ़ायरवॉल पर ब्लॉक करें:

IOCs