L’azienda di sicurezza Phorion afferma che una versione alterata dell’estensione « Claude Code » di Anthropic, destinata agli editor compatibili con Visual Studio Code, avrebbe installato una backdoor SSH sui computer degli sviluppatori. Secondo l’editore Cursor, che ha distribuito questa versione, fino a 5.000 utenti potrebbero essere stati colpiti.
Il pacchetto malevolo, numerato 2.1.313, è apparso su Open VSX, una piattaforma di estensioni open source gestita dalla Fondazione Eclipse. Editori come Cursor e Windsurf, che si basano sul codice di Visual Studio Code, utilizzano questo marketplace, poiché il negozio predefinito, il Visual Studio Marketplace di Microsoft, è riservato ai propri prodotti. Nessuna versione malevola è stata segnalata lì. Secondo Cursor, la versione alterata è rimasta disponibile nel suo negozio per circa 11 ore, il 29 ottobre 2026.
Un accesso nascosto installato sulla macchina
Anthropic è un’azienda statunitense specializzata in IA, il cui prodotto di punta è Claude, una serie di grandi modelli linguistici (LLM). Il codice malevolo, tuttavia, non è stato sviluppato dall’azienda. Secondo Cursor, è stato aggiunto a una versione dell’estensione che non era la sua.
Secondo Phorion, il payload malevolo aggiunge la chiave SSH dell’attaccante alle chiavi autorizzate della macchina. SSH è un protocollo di connessione remota sicuro: una chiave autorizzata consente di connettersi al computer senza password. Il software apre poi un tunnel verso il server dell’attaccante, che può così riconnettersi alla macchina. Il tunnel rimane attivo dopo la chiusura dell’editor, e il software tenta di ristabilire la connessione circa ogni 60 secondi. Mette anche in atto meccanismi che gli permettono di sopravvivere a un riavvio, su Mac, Linux e Windows.
Secondo Phorion, l’estensione trasmette al server dell’attaccante il nome della macchina, il nome utente, il sistema operativo, la directory di lavoro, l’indirizzo email Git e l’indirizzo IP pubblico. Invia anche i nomi, ma non i valori, di fino a 40 variabili d’ambiente che assomigliano a chiavi, token, password o identificativi AWS e GCP. « Questa lista fornisce all’operatore un inventario degli host contenenti identificativi cloud o token API », ha sottolineato Calum Hall, CEO di Phorion.
Su macOS, la chiave funziona solo se il servizio SSH è attivo, cosa che spesso non avviene. Phorion attribuisce questo limite a un controllo difettoso dello script, ma precisa che non costituisce una protezione. « L’utente non ha bisogno di interagire con l’estensione affinché il payload si attivi », ha aggiunto Calum Hall.
La risposta di Cursor
In un avviso di sicurezza, Cursor indica di aver rimosso la versione malevola, chiuso il proprio negozio per precauzione, controllato gli accessi e rinnovato le proprie chiavi. L’azienda dichiara di non aver trovato altre estensioni alterate. Ha lavorato con il fornitore di servizi cloud che ospitava il server dell’attaccante per metterlo offline, interrompendo così il tunnel e la trasmissione dei dati. Cursor ha ricostruito il proprio negozio e lo ha rimesso in funzione « dopo essersi assicurata che non ci fosse più alcun rischio », ha dichiarato l’azienda su X.
Cursor afferma anche che nessun’altra versione dell’estensione né la distribuzione ufficiale sono state toccate, a sua conoscenza. Secondo l’editore, l’attivazione di SSH richiede diritti di amministratore che l’estensione non ottiene sulla maggior parte delle macchine Mac e Windows, il che limiterebbe l’accesso dell’attaccante su questi sistemi.
Verifiche da effettuare
Phorion avverte che la disinstallazione dell’estensione non rimuove la backdoor. Cursor indica che il payload malevolo deposita script autonomi che continuano a eseguirsi. Chiunque abbia installato o aggiornato l’estensione alla versione 2.1.313 deve quindi verificare se il proprio file di autorizzazione delle chiavi SSH contiene una voce intitolata « svc-telemetry ». Cursor ha pubblicato comandi di verifica e script di pulizia per macOS e Windows. Entrambe le aziende hanno anche condiviso indicatori di compromissione.
