Versioni dannose dell’estensione Claude Code di Anthropic sono state diffuse agli utenti di Cursor nell’ambito di un nuovo attacco alla catena di approvvigionamento software. L’incidente è avvenuto il 29 ottobre, e le versioni interessate sono state accessibili solo per circa 11 ore. Non provenivano da Anthropic, che afferma che i suoi canali ufficiali non sono coinvolti.
Le versioni 2.1.312 e 2.1.313 dell’estensione anthropic.claude-code erano disponibili nel marketplace delle estensioni VS Code di Cursor. Mirando sia agli utenti macOS che Windows, contenevano codice JavaScript progettato per eseguirsi al caricamento di alcuni moduli e stabilire un tunnel SSH inverso, un accesso remoto verso la macchina infetta. Secondo il ricercatore di sicurezza Kevin Beaumont, circa 5.000 sistemi di sviluppatori potrebbero aver scaricato queste versioni.
Una copia modificata pubblicata tramite il marketplace di Cursor
Anthropic ha indicato che le versioni modificate non sono state sviluppate dall’azienda e che non sono state pubblicate sul Microsoft Visual Studio Marketplace, su Open VSX né sul registro NPM. « Un attore malevolo ha utilizzato l’accesso al marketplace di Cursor per pubblicare una copia alterata dell’estensione Claude Code, che noi non abbiamo né costruito né pubblicato. Le versioni dei nostri canali ufficiali non sono interessate, e ciò riguarda solo gli utenti di Cursor », ha dichiarato Felix Rieseberg di Anthropic. Per evitare confusione, Anthropic ha aggiornato direttamente la sua versione legittima dell’estensione, portandola alla versione 2.1.314.
Da parte di Cursor, l’estensione modificata è stata rimossa dal negozio non appena identificata, e il marketplace è stato sospeso per il tempo dell’indagine. Cursor indica di non aver trovato altre estensioni dannose, di aver rinnovato tutte le sue chiavi, ricostruito e riaperto il marketplace. L’azienda ha anche collaborato con il fornitore cloud che ospitava il server dell’attaccante per metterlo offline. « Non abbiamo prove che altre versioni dell’estensione o la distribuzione ufficiale siano interessate », ha precisato Cursor.
Azioni di raccolta informazioni e persistenza
Secondo l’analisi pubblicata da Microsoft, la funzione JavaScript eseguita al caricamento raccoglieva informazioni sulla macchina, modificava file e lanciava comandi di sistema. Secondo Microsoft, il codice tentava di installare una chiave SSH, attivare il servizio SSH, creare il tunnel e configurarne la persistenza, cioè la capacità di rimanere attivo dopo un riavvio. « Il loader inizia raccogliendo informazioni sull’host. Tenta poi di installare una chiave SSH, attivare SSH, creare un tunnel inverso e configurare la persistenza. Una richiamata differita tenta poi di inviare i dettagli dell’host », indica Microsoft. I ricercatori hanno osservato la raccolta del nome host, del nome utente, del sistema operativo, dell’architettura, della directory di lavoro e dell’indirizzo email Git globale, nonché il dispiegamento di script specifici per ciascuna piattaforma. Secondo Cursor, l’attivazione del servizio SSH richiede diritti di amministratore che l’estensione non possiede sulla maggior parte dei sistemi macOS e Windows: questa fase è quindi fallita, il che avrebbe impedito agli attaccanti di connettersi tramite il tunnel.
Cursor raccomanda agli utenti di rimuovere al più presto le versioni dannose e ha pubblicato uno script di rilevamento nonché indicatori di compromissione. L’azienda precisa che la disinstallazione dell’estensione potrebbe non bastare, perché il payload dannoso deposita script di persistenza autonomi che continuano a funzionare.
