Kwaadaardige versies van de Claude Code-extensie van Anthropic zijn verspreid onder Cursor-gebruikers als onderdeel van een nieuwe aanval op de softwaretoeleveringsketen. Het incident vond plaats op 29 oktober, en de betrokken versies waren slechts ongeveer 11 uur beschikbaar. Ze kwamen niet van Anthropic, dat stelt dat zijn officiële kanalen niet zijn getroffen.
Versies 2.1.312 en 2.1.313 van de extensie anthropic.claude-code waren beschikbaar in de VS Code-extensiemarktplaats van Cursor. Gericht op zowel macOS- als Windows-gebruikers bevatten ze JavaScript-code die was ontworpen om uit te voeren bij het laden van bepaalde modules en een omgekeerde SSH-tunnel op te zetten, een externe toegang tot de geïnfecteerde machine. Volgens beveiligingsonderzoeker Kevin Beaumont hebben ongeveer 5.000 systemen van ontwikkelaars deze versies mogelijk gedownload.
Een aangepaste kopie gepubliceerd via de marktplaats van Cursor
Anthropic gaf aan dat de aangepaste versies niet door het bedrijf waren ontwikkeld en dat ze niet waren gepubliceerd op de Microsoft Visual Studio Marketplace, Open VSX of het NPM-register. « Een kwaadwillende actor gebruikte toegang tot de marktplaats van Cursor om een aangepaste kopie van de Claude Code-extensie te publiceren, die wij niet hebben gebouwd of vrijgegeven. De versies van onze officiële kanalen zijn niet getroffen, en dit heeft alleen invloed op Cursor-gebruikers », zei Felix Rieseberg van Anthropic. Om verwarring te voorkomen heeft Anthropic zijn legitieme versie van de extensie direct bijgewerkt naar versie 2.1.314.
Aan de kant van Cursor is de aangepaste extensie na identificatie uit de winkel verwijderd, en de marktplaats werd tijdelijk opgeschort voor onderzoek. Cursor meldt geen andere kwaadaardige extensies te hebben gevonden, alle sleutels te hebben vernieuwd, de marktplaats te hebben herbouwd en heropend. Het bedrijf werkte ook samen met de cloudprovider die de server van de aanvaker hostte om deze offline te halen. « We hebben geen bewijs dat andere versies van de extensie of de officiële distributie zijn aangetast », verduidelijkte Cursor.
Acties voor informatieverzameling en persistentie
Volgens de door Microsoft gepubliceerde analyse verzamelde de JavaScript-functie die bij het laden werd uitgevoerd informatie over de machine, wijzigde bestanden en startte systeemcommando’s. Volgens Microsoft probeerde de code een SSH-sleutel te installeren, de SSH-service te activeren, de tunnel te creëren en de persistentie ervan te configureren, dat wil zeggen het vermogen om actief te blijven na een herstart. « De loader begint met het verzamelen van informatie over de host. Vervolgens probeert het een SSH-sleutel te installeren, SSH te activeren, een omgekeerde tunnel te creëren en persistentie te configureren. Een uitgestelde callback probeert vervolgens de hostdetails te verzenden », zegt Microsoft. Onderzoekers zagen de verzameling van hostnaam, gebruikersnaam, besturingssysteem, architectuur, werkmap en globaal Git-e-mailadres, evenals de implementatie van platformspecifieke scripts. Volgens Cursor vereist het activeren van de SSH-service administratorrechten die de extensie op de meeste macOS- en Windows-systemen niet heeft: deze stap is dus mislukt, wat de aanvallers zou hebben verhinderd om via de tunnel in te loggen.
Cursor raadt gebruikers aan de kwaadaardige versies zo snel mogelijk te verwijderen en heeft een detectiescript en indicatoren van compromittering gepubliceerd. Het bedrijf benadrukt dat het verwijderen van de extensie mogelijk niet voldoende is, omdat de kwaadaardige lading zelfstandige persistentiescripts plaatst die blijven functioneren.
