トロイの木馬化されたClaude Code拡張機能がCursorの拡張機能マーケットプレイスで配信

Cursorによると、拡張機能マーケットプレイスを通じて配信された改変版Claude Code VS Code拡張機能に関するセキュリティインシデントを確認した。影響を受けたユーザーは最大5,000人。Cursorは、悪意あるバージョンはAnthropicが開発したものではなく、他の拡張機能には影響がないとしている。

Cursorの勧告が伝えている内容（セキュリティ研究者による紹介）：

• 影響を受けたビルドは Anthropic.claude-code v2.1.313。10月29日9:27から20:35（UTC）まで、macOS ARM64およびWindows x64向けに配信された。
• 拡張機能を読み込むと、ホスト情報を収集し、永続的なSSHバックドアのインストールを試みる悪意あるコードが実行される。Cursorによると、バグや権限不足により大半のホストではSSHアクセスに失敗するため、リモートアクセスは制限されるものの、コードが実行された事実は変わらない。
• 影響を受けたアカウントからアクセスできる認証情報やリポジトリは、リスクにさらされた可能性がある。Cursorは、パッケージを削除し、コマンド＆コントロールサーバーをオフラインにしたとしている。
• 拡張機能をアンインストールしても、永続化の仕組みが残る場合がある。研究者は、このバージョンを実行した人に対し、ホストを調査して永続化の仕組みを削除し、クリーンなマシンからアクセス可能な認証情報をローテーションするよう助言している。拡張機能を更新しただけでは、マシンがクリーンになったとは言えない。

独立した分析： OpenSourceMalwareとPhorionがそれぞれ、侵害の痕跡に関する分析記事を公開した。ある投稿で要約されたOpenSourceMalwareの説明によると、このローダーは攻撃者のSSHキーを authorized_keys に追加し、sshdを有効化してリバースSSHトンネルを開き、LaunchAgent、cronジョブ、またはスケジュールタスクを使って永続化を設定する。さらに、ホスト情報とシークレットを含む環境変数の名前を、攻撃者が管理するサーバーに送信する。これらは研究者の調査結果であり、Anthropicによる確認ではない。

Claude Codeを担当するAnthropicのFelix Riesebergは、このインシデントについてAnthropicがCursorと協力していると述べた。ただし、Anthropicのシステムや従業員のノートPCが侵害されたわけではないという。本人の説明では、悪意ある人物がCursorのマーケットプレイスへのアクセス権を使って改ざん版の拡張機能を公開したもので、Anthropicはそれを開発も公開もしていない。同氏によれば、Anthropicの公式チャネルで提供されているバージョンに影響はなく、影響を受けるのはCursorのユーザーのみ。

研究者は報告内容を踏まえ、MicrosoftのVS Codeマーケットプレイスや悪意あるnpmリリースが侵害されたとは立証されていないと指摘している。Cursorの勧告には復旧手順が記載されている。