10月29日、約11時間にわたり、Anthropicのものとされる偽のClaude Code拡張機能がCursorのマーケットプレイスで流通しました。この拡張機能は開発者のコンピューターにSSHのバックドアをインストールしようとしました。Cursorによると、最大5,000人の開発者が影響を受けた可能性があります。
Cursorのマーケットプレイスで何が起きたのか？
Cursorが発表したセキュリティ通知によると、改変された拡張機能Anthropic.claude-code 2.1.313が太平洋時間の2時27分から13時35分まで提供されていました。これはフランス時間の10時27分から21時35分に相当します。開発元はこのバージョンがAnthropicによるものではなく、最大5,000人のユーザーに影響を及ぼしたとし、直接連絡を取る意向を示しています。
Cursorは検出後すぐにこのバージョンを削除し、予防措置としてマーケットプレイス全体を閉鎖、キーを変更しサービスを再構築しました。また、攻撃者のサーバーをホスティング業者によりオフラインにさせたと述べています。これによりトンネルや情報送信は機能しなくなっています。さらに他のバージョンに影響がある証拠はないとしています。Xでの同社の発表はThe Hacker Newsにより拡散されました：
このバックドアはマシン上で何をするのか？
OpenSourceMalwareの分析によると、拡張機能のメインファイルの正規コードの前に66行のローダーが挿入されていました。拡張機能の読み込み時に実行され、Claudeとの会話を開く必要はありません。マシン名、ユーザー名、システム名、グローバルGitメールアドレス、 »KEY »や »TOKEN »を含む環境変数名を収集します。値は最初の送信には含まれませんが、名前だけで使用サービスが特定可能です。
コードは続けて »svc-telemetry »というラベルのSSHキーをauthorized_keysファイルに追加し、SSHサービスの起動を試み、134.209.82.225へのリバーストンネルを開きます。持続性のために偽名でインストールされます。macOSでは »com.apple.sysmond »というLaunchAgent（Appleのコンポーネントではありません）、Windowsでは »SysMon »というタスクスケジューラです。Cursorによると、スクリプトが約60秒ごとにトンネルを再起動し、サーバーのポート8099にレポートを送信しています。
自身のミスで部分的に制限された攻撃
これは自動制御の乗っ取りではありません。CursorはSSHサービスの起動に管理者権限が必要であり、多くのMacやWindows PCでは拡張機能にその権限がないと説明しています。これらのマシンでは攻撃者はトンネル経由で接続できなかった可能性があります。しかし、キーの設置、持続性、情報送信は残っているため、クリーンアップは必要です。
Open VSXかCursorマーケットプレイスか：罠入りバージョンの出所は？
情報源は一致していません。Cursorと訂正後のThe Hacker Newsは配布がCursorマーケットプレイスのみに限定され、Open VSXやMicrosoft Marketplaceには届いていないとしています。一方、Help Net Securityとセキュリティ企業PhorionはEclipse財団が管理するOpen VSXでパッケージが公開されたと報じています。
OpenSourceMalwareはOpen VSXで入手したサンプルを分析しましたが、調査対象のフォルダの出所は不明としています。The Hacker Newsによると、Anthropicはその後Open VSXとMicrosoft Marketplaceにバージョン2.1.314を公開しました。Anthropicから今回の事件に関する声明は見つかっていません。
自分が影響を受けているかどうかは？
この問題は、指定された期間中にCursorマーケットプレイスからAnthropic.claude-code 2.1.313をインストールまたは更新した人に限られます。Cursorは確認方法を提供しています：SSHのauthorized_keysに »svc-telemetry »キーがあるかどうか。macOSの場合：
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"CursorはWindows用のPowerShellコマンドも提供していますが、Linux用はありません。キーが存在すればマシンは感染しており、Cursorは以下の対応を推奨しています：
- マシンを隔離し、通知に記載された侵害指標を調査すること
- 拡張機能のアンインストールだけでは不十分なため、macOSまたはWindows用の提供されたクリーンスクリプトを実行すること。独立したスクリプトが動作し続けている可能性があります。
- 信頼できるシステムからマシンでアクセス可能な認証情報やセッションを変更すること
最後に誰も解明していない疑問が残ります：このバージョンを実際に公開したのは誰で、どのようなアクセス権を持っていたのか？
