Zmanipulowane rozszerzenie Claude Code w sklepie Cursora próbowało założyć backdoor SSH

Cursor ujawnił, że 29 października w jego sklepie z rozszerzeniami krążyła złośliwie zmodyfikowana wersja dodatku Claude Code. Kod ładował się razem z rozszerzeniem i próbował założyć na komputerach programistów trwały backdoor SSH. Według Cursora zmanipulowany pakiet nie powstał w Anthropic.

Co się stało

Zgodnie z relacją BleepingComputer, Cursor poinformował, że Anthropic nie stworzył złośliwej wersji 2.1.313 rozszerzenia Claude Code. Firma nie wyjaśniła jednak, w jaki sposób atakujący rozpowszechnili ją pod nazwą Anthropic. Przez około 11 godzin mogła zostać pobrana przez użytkowników edytora. Cursor ostrzegł: „Rozszerzenie uruchamia złośliwy kod, który próbuje zainstalować trwały backdoor SSH”.

Wczesne doniesienia mówiły też o npm, Open VSX i marketplace Microsoftu dla VS Code, ale późniejsze ustalenia wykluczyły te kanały. Źródłem złośliwej wersji był tylko sklep Cursora. Do chwili publikacji BleepingComputer nie otrzymał odpowiedzi ani od Cursora, ani od Anthropic na dodatkowe pytania.

Rozszerzenie uruchamia złośliwy kod, który próbuje zainstalować trwały backdoor SSH. - Cursor, ostrzeżenie dla użytkowników

Jak działał kod

Badacze z firm Phorion i OpenSourceMalware znaleźli na początku pliku extension.js złośliwy loader w JavaScripcie. Pozostały kod rozszerzenia pozostał bez zmian. Loader uruchamiał się przy ładowaniu rozszerzenia i nie wymagał od użytkownika korzystania z Claude Code.

Zbierał dane o systemie i użytkowniku, w tym adres e-mail z Gita i publiczny adres IP. Następnie dodawał do konfiguracji SSH klucz kontrolowany przez atakujących, próbował włączyć usługę SSH i ustawić tunel zwrotny. Trwałość zapewniał przez LaunchAgent na macOS albo zadanie harmonogramu lub skrypt autostartu w Windows, ponawiane mniej więcej raz na minutę. Informacje o hoście i stanie backdoora trafiały na adres 134.209.82[.]225.

Według Phorion kod zawierał błędy. Na macOS sprawdzenie stanu zdalnego logowania odbywało się bez podwyższonych uprawnień i zwracało błąd, więc włączenie SSH było pomijane. W Windows próba instalacji OpenSSH przez PowerShell szła przez /bin/sh, którego standardowo tam nie ma, więc się nie powiodła. Klucze, trwałość i próby tunelu nadal się wykonywały, ale dostęp się nie udawał, jeśli SSH nie działał już wcześniej.

Reakcja Cursora

Cursor usunął rozszerzenie, tymczasowo wyłączył cały marketplace, przeprowadził audyt innych rozszerzeń i zrotował wszystkie klucze dostępowe. Wraz z dostawcą hostingu doprowadził do wyłączenia serwera atakujących, co odcięło połączenia zwrotne SSH i eksfiltrację danych. Według Cursora wewnętrzne śledztwo nie wykazało, by dotknięte były inne wersje rozszerzeń czy oficjalna dystrybucja.

Otwarte pozostaje, jak atakujący opublikowali pakiet pod nazwą Anthropic w sklepie Cursora i czy naruszono systemy Cursora lub Anthropic. BleepingComputer zaznacza, że kod nie kradnie bezpośrednio poświadczeń, mimo że zbiera nazwy zmiennych środowiskowych związanych z poświadczeniami. Sugeruje to, że atakujący planowali ręczne zbieranie danych w dalszym kroku.

Co zrobić po infekcji

Kto pobrał pakiet w opisanym oknie czasowym, powinien sprawdzić obecność klucza SSH „svc-telemetry”, a jeśli infekcja się potwierdzi, zastosować instrukcje naprawcze Cursora. W przypadku przejętych maszyn zalecane jest odizolowanie ich, rotacja dostępnych sekretów, unieważnienie sesji i odbudowa z bezpiecznych kopii.

Dla zespołów programistycznych w Polsce to kolejny sygnał, że sklepy z rozszerzeniami do edytorów z AI są wektorem ataku na stacje deweloperskie, na których często leżą klucze do repozytoriów i chmury. Warto sprawdzić, czy ktoś w firmie miał w tym oknie zainstalowaną lub zaktualizowaną wersję 2.1.313 w Cursorze.