Троянизированное расширение Claude Code распространялось через маркетплейс расширений Cursor

Cursor сообщает, что выявила инцидент безопасности, связанный с модифицированным расширением Claude Code для VS Code, распространявшимся через маркетплейс расширений Cursor и затронувшим не более 5 000 пользователей. По словам Cursor, вредоносную версию разработала не Anthropic, а другие расширения не затронуты.

Что говорится в уведомлении Cursor (по пересказу исследователя безопасности):

• Затронутая сборка — Anthropic.claude-code v2.1.313, распространявшаяся 29 октября с 09:27 до 20:35 UTC для macOS ARM64 и Windows x64.
• При загрузке расширения запускается вредоносный код, который собирает сведения о хосте и пытается установить постоянный SSH-бэкдор. Cursor сообщает, что SSH-доступ не сработал бы на большинстве хостов из-за ошибок и недостаточных привилегий. Это ограничивает удалённый доступ, но не отменяет факт выполнения кода.
• Учётные данные и репозитории, доступные из затронутой учётной записи, потенциально находятся под угрозой. Cursor сообщает, что пакет удалён, а сервер управления и контроля отключён.
• Удаление расширения может не устранить оставленный механизм закрепления. Исследователь советует всем, кто запускал эту версию, проверить хост, удалить механизмы закрепления и сменить доступные учётные данные с чистого компьютера. Одно лишь обновление расширения не гарантирует, что компьютер чист.

Независимый анализ: OpenSourceMalware и отдельно Phorion опубликовали разборы с индикаторами компрометации. По пересказу публикации об этом, OpenSourceMalware сообщает, что загрузчик добавляет SSH-ключ злоумышленника в authorized_keys, включает sshd, открывает обратный SSH-туннель, настраивает закрепление (LaunchAgent, задание cron или запланированную задачу) и отправляет на контролируемый злоумышленником сервер сведения о хосте и названия секретных переменных окружения. Это выводы исследователей, а не Anthropic.

Феликс Ризеберг из Anthropic, работающий над Claude Code, говорит, что Anthropic совместно с Cursor расследует инцидент, но системы Anthropic и ноутбуки сотрудников не были скомпрометированы: по его словам, злоумышленник воспользовался доступом к маркетплейсу Cursor, чтобы опубликовать подменённую копию расширения, которую Anthropic не создавала и не публиковала. Он утверждает, что версии в официальных каналах Anthropic не затронуты и пострадали только пользователи Cursor.

По оценке исследователя, опубликованные разборы не подтверждают компрометацию маркетплейса Microsoft VS Code или выпуск вредоносного пакета npm. В уведомлении Cursor есть инструкции по очистке.