Złośliwie zmodyfikowane rozszerzenie Claude Code udostępniano w marketplace rozszerzeń Cursor

Cursor informuje, że wykrył incydent bezpieczeństwa związany ze zmodyfikowanym rozszerzeniem Claude Code do VS Code, dystrybuowanym za pośrednictwem marketplace rozszerzeń Cursor. Incydent mógł dotyczyć maksymalnie 5 000 użytkowników. Cursor twierdzi, że złośliwa wersja nie została opracowana przez Anthropic i że żadne inne rozszerzenie nie ucierpiało.

Co wynika z komunikatu Cursor (przytoczonego przez badacza bezpieczeństwa):

• Problem dotyczy kompilacji Anthropic.claude-code v2.1.313, udostępnianej 29 października w godzinach 09:27–20:35 UTC na macOS ARM64 i Windows x64.
• Załadowanie rozszerzenia uruchamia złośliwy kod, który zbiera informacje o hoście i próbuje zainstalować trwałe tylne wejście SSH. Cursor twierdzi, że dostęp przez SSH nie powiódłby się na większości hostów z powodu błędów i niewystarczających uprawnień. Ogranicza to zdalny dostęp, ale nie cofa wykonania kodu.
• Dane uwierzytelniające i repozytoria dostępne dla konta, na którym działało rozszerzenie, mogą być zagrożone. Cursor informuje, że pakiet został usunięty, a serwer command-and-control wyłączony.
• Odinstalowanie rozszerzenia może nie usunąć pozostawionych mechanizmów trwałego dostępu. Badacz zaleca osobom, które uruchomiły tę wersję, sprawdzenie hosta, usunięcie tych mechanizmów i zmianę dostępnych danych uwierzytelniających z czystego komputera. Sama aktualizacja rozszerzenia nie oznacza, że komputer jest czysty.

Niezależne analizy: OpenSourceMalware, a osobno Phorion, opublikowali analizy z wskaźnikami infekcji. OpenSourceMalware, jak wynika z podsumowania opublikowanego w poście na ten temat, twierdzi, że moduł ładujący dodaje klucz SSH atakującego do authorized_keys, włącza sshd, otwiera odwrotny tunel SSH, konfiguruje mechanizm trwałego dostępu (LaunchAgent, zadanie cron lub zaplanowane zadanie) oraz wysyła informacje o hoście i nazwy zmiennych środowiskowych zawierających sekrety na serwer kontrolowany przez atakującego. Są to ustalenia badaczy, a nie Anthropic.

Felix Rieseberg z Anthropic, który pracuje nad Claude Code, twierdzi, że Anthropic współpracuje z Cursor przy wyjaśnianiu incydentu, ale nie doszło do naruszenia systemów Anthropic ani laptopów pracowników. Według jego relacji złośliwy aktor wykorzystał dostęp do marketplace Cursor, by opublikować zmanipulowaną kopię rozszerzenia, której Anthropic nie stworzyło ani nie opublikowało. Rieseberg twierdzi, że wersje dostępne w oficjalnych kanałach Anthropic nie są zagrożone i że incydent dotyczy wyłącznie użytkowników Cursor.

Zdaniem badacza raporty nie potwierdzają naruszenia marketplace Microsoft VS Code ani publikacji złośliwej wersji npm. Komunikat Cursor zawiera instrukcje usuwania zagrożenia.