Firma bezpieczeństwa Phorion twierdzi, że zmodyfikowana wersja rozszerzenia Anthropic « Claude Code », przeznaczonego dla edytorów kompatybilnych z Visual Studio Code, miała zainstalować backdoor SSH na komputerach programistów. Według dystrybutora Cursor, nawet 5 000 użytkowników mogło zostać poszkodowanych.
Złośliwy pakiet o numerze wersji 2.1.313 pojawił się na Open VSX, platformie rozszerzeń open source zarządzanej przez Fundację Eclipse. Edytory takie jak Cursor i Windsurf, oparte na kodzie Visual Studio Code, korzystają z tego sklepu, ponieważ domyślny Visual Studio Marketplace Microsoftu jest zarezerwowany dla własnych produktów. Nie zgłoszono tam żadnej złośliwej wersji. Według Cursor, zmodyfikowana wersja była dostępna w jego sklepie przez około 11 godzin 29 października 2026 roku.
Ukryty dostęp zainstalowany na maszynie
Anthropic to amerykańska firma specjalizująca się w AI, której flagowym produktem jest Claude, seria dużych modeli językowych (LLM). Złośliwy kod nie został jednak opracowany przez tę firmę. Według Cursor, został dodany do wersji rozszerzenia, która nie była jego własnością.
Według Phorion, złośliwy ładunek dodaje klucz SSH atakującego do autoryzowanych kluczy maszyny. SSH to bezpieczny protokół zdalnego logowania: autoryzowany klucz pozwala na połączenie z komputerem bez hasła. Oprogramowanie następnie otwiera tunel do serwera atakującego, który może się ponownie połączyć z maszyną. Tunel pozostaje aktywny po zamknięciu edytora, a oprogramowanie próbuje przywrócić połączenie co około 60 sekund. Wdraża też mechanizmy pozwalające przetrwać restart na systemach Mac, Linux i Windows.
Według Phorion, rozszerzenie przesyła na serwer atakującego nazwę maszyny, nazwę użytkownika, system operacyjny, katalog roboczy, adres e-mail Git oraz publiczny adres IP. Wysyła także nazwy (ale nie wartości) do 40 zmiennych środowiskowych przypominających klucze, tokeny, hasła lub identyfikatory AWS i GCP. « Ta lista dostarcza operatorowi inwentarz hostów zawierających chmurowe poświadczenia lub tokeny API » – podkreślił Calum Hall, CEO Phorion.
W macOS klucz działa tylko jeśli usługa SSH jest aktywna, co często nie ma miejsca. Phorion przypisuje to ograniczenie błędnemu sprawdzeniu w skrypcie, ale zaznacza, że nie stanowi to ochrony. « Użytkownik nie musi wchodzić w interakcję z rozszerzeniem, aby ładunek się uruchomił » – dodał Calum Hall.
Odpowiedź Cursor
W komunikacie bezpieczeństwa Cursor informuje, że usunął złośliwą wersję, tymczasowo zamknął swój sklep, przeprowadził audyt dostępu i odnowił swoje klucze. Firma twierdzi, że nie znalazła innych zmodyfikowanych rozszerzeń. Współpracowała z dostawcą usług w chmurze hostującym serwer atakującego, aby go wyłączyć, co przerwało tunel i transmisję danych. Cursor odbudował swój sklep i przywrócił go do działania « po upewnieniu się, że nie ma już żadnego ryzyka » – oświadczyła firma na X.
Cursor twierdzi również, że według jego wiedzy, żadna inna wersja rozszerzenia ani dystrybucja oficjalna nie zostały naruszone. Według dystrybutora, aktywacja SSH wymaga uprawnień administratora, których rozszerzenie nie uzyskuje na większości maszyn Mac i Windows, co ograniczałoby dostęp atakującego na tych systemach.
Weryfikacje do przeprowadzenia
Phorion ostrzega, że odinstalowanie rozszerzenia nie usuwa backdoora. Cursor wskazuje, że złośliwy ładunek umieszcza samodzielne skrypty, które nadal działają. Każdy, kto zainstalował lub zaktualizował rozszerzenie do wersji 2.1.313, powinien sprawdzić, czy jego plik autoryzacji kluczy SSH zawiera wpis zatytułowany « svc-telemetry ». Cursor opublikował polecenia weryfikacyjne oraz skrypty czyszczące dla macOS i Windows. Obie firmy udostępniły także wskaźniki kompromitacji.
