Per circa undici ore, il 29 ottobre, una versione falsa dell’estensione Claude Code, spacciata per quella di Anthropic, è circolata sul marketplace di Cursor. Tentava di installare una backdoor SSH sui computer degli sviluppatori: 5.000 al massimo, secondo Cursor.
Cosa è successo sul marketplace di Cursor?
Secondo l’avviso di sicurezza pubblicato da Cursor, una versione modificata dell’estensione, Anthropic.claude-code 2.1.313, è stata offerta tra le 2:27 e le 13:35, ora del Pacifico. Ciò corrisponde a un intervallo dalle 10:27 alle 21:35 in Francia. L’editore afferma che questa versione non è stata sviluppata da Anthropic e che ha colpito al massimo 5.000 utenti, che dichiara di voler contattare direttamente.
Cursor ha rimosso la versione non appena rilevata, poi chiuso per precauzione l’intero marketplace, cambiato le proprie chiavi e ricostruito il servizio. La società dice anche di aver ottenuto dal provider l’interruzione del server dell’attaccante: il tunnel e l’invio di informazioni non funzionerebbero più. Aggiunge di non avere alcuna prova che altre versioni dell’estensione siano coinvolte. Il suo messaggio su X è stato ripreso da The Hacker News:
Cosa fa questa backdoor sulla macchina?
Secondo l’analisi di OpenSourceMalware, un caricatore di 66 righe è stato incollato prima del codice legittimo del file principale dell’estensione. Si esegue non appena l’estensione viene caricata: inutile aprire una conversazione con Claude. Rileva il nome della macchina, l’utente, il sistema, l’indirizzo email Git globale e i nomi delle variabili d’ambiente che contengono parole come « KEY » o « TOKEN ». I valori non figurano nel primo invio, ma i nomi bastano a rivelare i servizi utilizzati.
Il codice aggiunge poi una chiave SSH etichettata « svc-telemetry » al file authorized_keys, tenta di attivare il servizio SSH e apre un tunnel inverso verso l’indirizzo 134.209.82.225. Per durare, si installa con un nome ingannevole: su macOS, un LaunchAgent chiamato « com.apple.sysmond », che non ha nulla di un componente Apple; su Windows, un’attività pianificata « SysMon ». Secondo Cursor, degli script riavviano il tunnel circa ogni 60 secondi e un rapporto viene inviato verso la porta 8099 del server.
Un attacco in parte limitato dai propri errori
Non si tratta di una presa di controllo automatica. Cursor spiega che attivare il servizio SSH richiede diritti di amministratore, che l’estensione non ha sulla maggior parte dei Mac e dei PC Windows. Su queste macchine, l’attaccante quindi non avrebbe potuto connettersi tramite il tunnel. La chiave, la persistenza e l’invio delle informazioni restano comunque in atto, il che giustifica di pulire ugualmente.
Open VSX o marketplace di Cursor: da dove veniva la versione compromessa?
Le fonti non concordano. Cursor, e poi The Hacker News nella sua versione corretta, collocano la diffusione unicamente sul marketplace di Cursor, senza prova che abbia raggiunto Open VSX o il Marketplace di Microsoft. Al contrario, Help Net Security e la società di sicurezza Phorion parlano di un pacchetto pubblicato su Open VSX, il registro gestito dalla fondazione Eclipse.
OpenSourceMalware, dal canto suo, ha analizzato un esemplare recuperato su Open VSX, precisando però che la provenienza della cartella studiata non è accertata. Secondo The Hacker News, Anthropic ha da allora pubblicato la versione 2.1.314 su Open VSX e sul Marketplace di Microsoft. Non abbiamo trovato alcuna dichiarazione di Anthropic sull’incidente.
Come sapere se si è stati colpiti?
La domanda riguarda solo coloro che hanno installato o aggiornato Anthropic.claude-code 2.1.313 dal marketplace di Cursor durante l’intervallo citato. Cursor propone una verifica: la chiave « svc-telemetry » è presente nelle vostre chiavi SSH autorizzate? Su macOS:
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"Cursor fornisce anche un comando PowerShell per Windows, ma non per Linux. Se la chiave appare, la macchina è compromessa e Cursor raccomanda questi passaggi:
- isolare la macchina e cercare gli indicatori di compromissione elencati nel suo avviso
- eseguire lo script di pulizia fornito per macOS o Windows, perché disinstallare l’estensione non basta: degli script autonomi continuano a funzionare
- cambiare le credenziali e le sessioni accessibili dalla macchina, da un sistema affidabile
Resta una domanda che nessuno ha risolto: chi ha realmente pubblicato questa versione, e con quale accesso?
