Beveiligingsbedrijf Phorion beweert dat een aangepaste versie van de « Claude Code »-extensie van Anthropic, bedoeld voor editors die compatibel zijn met Visual Studio Code, een SSH-backdoor op de computers van ontwikkelaars zou hebben geïnstalleerd. Volgens uitgever Cursor, die deze versie heeft gedistribueerd, konden tot 5.000 gebruikers zijn getroffen.
Het schadelijke pakket, genummerd 2.1.313, verscheen op Open VSX, een open-source extensieplatform beheerd door de Eclipse Foundation. Uitgevers zoals Cursor en Windsurf, die zijn gebaseerd op de code van Visual Studio Code, maken gebruik van deze winkel, omdat de standaardwinkel, de Visual Studio Marketplace van Microsoft, voorbehouden is aan zijn eigen producten. Er is geen schadelijke versie daar gemeld. Volgens Cursor bleef de aangepaste versie ongeveer 11 uur beschikbaar in zijn winkel, op 29 oktober 2026.
Een verborgen toegang geïnstalleerd op de machine
Anthropic is een Amerikaans bedrijf gespecialiseerd in AI, waarvan het vlaggenschipproduct Claude is, een reeks grote taalmodellen (LLM’s). De schadelijke code is echter niet ontwikkeld door het bedrijf. Volgens Cursor is het toegevoegd aan een versie van de extensie die niet van hen was.
Volgens Phorion voegt de schadelijke payload de SSH-sleutel van de aanvaller toe aan de geautoriseerde sleutels van de machine. SSH is een veilig protocol voor externe toegang: een geautoriseerde sleutel maakt verbinding met de computer mogelijk zonder wachtwoord. De software opent vervolgens een tunnel naar de server van de aanvaller, die zich zo opnieuw kan verbinden met de machine. De tunnel blijft actief na het sluiten van de editor, en de software probeert ongeveer elke 60 seconden de verbinding te herstellen. Het stelt ook mechanismen in waarmee het een herstart kan overleven, op Mac, Linux en Windows.
Volgens Phorion verzendt de extensie naar de server van de aanvaller de naam van de machine, de gebruikersnaam, het besturingssysteem, de werkmap, het Git-e-mailadres en het openbare IP-adres. Het stuurt ook de namen, maar niet de waarden, van maximaal 40 omgevingsvariabelen die lijken op sleutels, tokens, wachtwoorden of AWS- en GCP-identificaties. « Deze lijst geeft de operator een inventaris van hosts die cloud-identificaties of API-tokens bevatten », benadrukte Calum Hall, CEO van Phorion.
Op macOS werkt de sleutel alleen als de SSH-service actief is, wat vaak niet het geval is. Phorion schrijft deze beperking toe aan een defecte controle van het script, maar benadrukt dat het geen bescherming vormt. « De gebruiker hoeft niet te interageren met de extensie om de payload te activeren », voegde Calum Hall toe.
Het antwoord van Cursor
In een beveiligingsadvies geeft Cursor aan dat het de schadelijke versie heeft verwijderd, zijn winkel uit voorzorg heeft gesloten, toegangen heeft gecontroleerd en zijn sleutels heeft vernieuwd. Het bedrijf zegt geen andere aangepaste extensie te hebben gevonden. Het heeft samengewerkt met de clouddienstprovider die de server van de aanvaller host om deze offline te halen, wat de tunnel en de gegevensoverdracht heeft onderbroken. Cursor heeft zijn winkel herbouwd en weer in gebruik genomen « nadat was vastgesteld dat er geen risico meer was », zei het bedrijf op X.
Cursor beweert ook dat geen andere versie van de extensie of de officiële distributie naar zijn weten is aangetast. Volgens de uitgever vereist het activeren van SSH administratorrechten die de extensie op de meeste Mac- en Windows-machines niet krijgt, wat de toegang van de aanvaller op deze systemen zou beperken.
Controles die moeten worden uitgevoerd
Phorion waarschuwt dat het verwijderen van de extensie de backdoor niet verwijdert. Cursor geeft aan dat de schadelijke payload zelfstandige scripts plaatst die blijven draaien. Iedereen die de extensie heeft geïnstalleerd of bijgewerkt naar versie 2.1.313 moet daarom controleren of zijn SSH-sleutelautorisatiebestand een vermelding bevat met de naam « svc-telemetry ». Cursor heeft controlecommando’s en schoonmaakscripts voor macOS en Windows gepubliceerd. Beide bedrijven hebben ook indicatoren van compromittering gedeeld.
