Cursorのサプライチェーン攻撃でClaude Codeの悪意ある拡張機能が配布される

拡張機能anthropic.claude-codeのバージョン2.1.312および2.1.313が、CursorのVS Code拡張機能マーケットプレイスで入手可能でした。macOSとWindowsの両方のユーザーを対象としており、特定のモジュールの読み込み時に実行されるように設計されたJavaScriptコードを含み、リバースSSHトンネル（感染したマシンへのリモートアクセス）を確立するものでした。セキュリティ研究者のKevin Beaumont氏によると、約5,000台の開発者システムがこれらのバージョンをダウンロードした可能性があります。

Cursorマーケットプレイス経由で公開された改ざん版

Anthropic社は、改ざんされたバージョンは同社によって開発されたものではなく、Microsoft Visual Studio Marketplace、Open VSX、NPMレジストリにも公開されていないと説明しました。「悪意のある攻撃者がCursorマーケットプレイスへのアクセス権を利用して、当社が構築も公開もしていないClaude Code拡張機能の改ざん版を公開しました。公式チャネルのバージョンは影響を受けておらず、これはCursorユーザーのみに影響します」と、Anthropic社のFelix Rieseberg氏は述べています。混乱を避けるため、Anthropic社は正当な拡張機能のバージョンを直接2.1.314に更新しました。

Cursor側では、改ざんされた拡張機能は特定され次第ストアから削除され、調査期間中はマーケットプレイスが一時停止されました。Cursor社は、他の悪意ある拡張機能は発見されなかったこと、すべてのキーを更新したこと、マーケットプレイスを再構築して再開したことを報告しています。同社はまた、攻撃者のサーバーをホストしていたクラウドプロバイダーと協力してサーバーをオフラインにしました。「拡張機能の他のバージョンや公式ディストリビューションが影響を受けている証拠はありません」とCursor社は強調しました。

情報収集と持続性を目的とした活動

Microsoftが公開した分析によると、モジュール読み込み時に実行されるJavaScript関数は、マシン情報を収集し、ファイルを変更し、システムコマンドを実行していました。Microsoftによると、このコードはSSHキーのインストール、SSHサービスの有効化、トンネルの作成、および再起動後も活動を維持するための持続性の設定を試みていました。「ローダーはまずホストに関する情報を収集します。次にSSHキーのインストール、SSHの有効化、リバーストンネルの作成、持続性の設定を試みます。その後、遅延コールバックがホストの詳細情報を送信しようとします」とMicrosoftは説明しています。研究者は、ホスト名、ユーザー名、オペレーティングシステム、アーキテクチャ、作業ディレクトリ、グローバルGitメールアドレスの収集、およびプラットフォーム固有のスクリプトの展開を確認しました。Cursor社によると、SSHサービスの有効化には管理者権限が必要ですが、拡張機能はほとんどのmacOSおよびWindowsシステムでその権限を持っていないため、このステップは失敗し、攻撃者がトンネル経由で接続することを防いだとされています。

Cursor社は、ユーザーに対して悪意あるバージョンをできるだけ早く削除することを推奨し、検出スクリプトと侵害指標（IoC）を公開しました。同社は、拡張機能のアンインストールだけでは不十分な可能性があると指摘しています。悪意のあるペイロードは独立した持続性スクリプトを配置し、それが動作し続けるためです。