Une extension Claude Code piégée a été distribuée depuis la marketplace d’extensions de Cursor

Cursor indique avoir identifié un incident de sécurité impliquant une extension Claude Code pour VS Code modifiée et distribuée via sa marketplace d’extensions, qui aurait touché au plus 5 000 utilisateurs. Cursor précise que la version malveillante n’a pas été développée par Anthropic et qu’aucune autre extension n’est concernée.

Ce que dit l’avis de Cursor (selon les informations relayées par un chercheur en sécurité) :

• La version concernée est Anthropic.claude-code v2.1.313, distribuée le 29 octobre de 09:27 à 20:35 UTC, pour macOS ARM64 et Windows x64.
• Le chargement de l’extension exécute un code malveillant qui collecte des informations sur l’hôte et tente d’installer une porte dérobée SSH persistante. Cursor indique que l’accès SSH échouerait sur la plupart des hôtes en raison de bugs et de privilèges insuffisants, ce qui limite l’accès à distance sans pour autant annuler l’exécution du code.
• Les identifiants et dépôts accessibles depuis le compte concerné sont potentiellement à risque. Cursor indique que le package a été supprimé et que le serveur de commande et de contrôle a été mis hors ligne.
• La désinstallation de l’extension peut laisser des mécanismes de persistance. Le chercheur conseille à toute personne ayant exécuté cette version d’inspecter l’hôte, de supprimer ces mécanismes et de renouveler les identifiants accessibles depuis une machine saine ; la seule mise à jour de l’extension ne garantit pas que la machine est propre.

Analyse indépendante : OpenSourceMalware et, séparément, Phorion ont publié des analyses accompagnées d’indicateurs de compromission. Selon OpenSourceMalware, comme le résume un article consacré à cette analyse, le chargeur ajoute une clé SSH de l’attaquant à authorized_keys, active sshd, ouvre un tunnel SSH inversé, met en place des mécanismes de persistance (un LaunchAgent, une tâche cron ou une tâche planifiée) et envoie à un serveur contrôlé par l’attaquant des informations sur l’hôte ainsi que les noms des variables d’environnement secrètes. Il s’agit des conclusions des chercheurs, et non d’Anthropic.

Felix Rieseberg, d’Anthropic, qui travaille sur Claude Code, indique qu’Anthropic collabore avec Cursor sur l’incident, mais qu’il ne s’agit pas d’une compromission des systèmes d’Anthropic ni des ordinateurs portables de ses employés : selon son récit, un acteur malveillant a utilisé son accès à la marketplace de Cursor pour publier une copie altérée de l’extension, qu’Anthropic n’a ni développée ni publiée. Il précise que les versions disponibles sur les canaux officiels d’Anthropic ne sont pas concernées et que seuls les utilisateurs de Cursor sont touchés.

Selon l’interprétation des rapports par le chercheur, ceux-ci n’établissent pas qu’il y ait eu une compromission de la marketplace VS Code de Microsoft ou une publication npm malveillante. L’avis de Cursor contient des instructions de nettoyage.