Przez około jedenaście godzin, 29 października, fałszywa wersja rozszerzenia Claude Code, przedstawiana jako pochodząca od Anthropic, krążyła na marketplace Cursor. Próbowała zainstalować tylne drzwi SSH na komputerach deweloperów: maksymalnie 5 000, według Cursor.
Co się wydarzyło na marketplace Cursor?
Według komunikatu bezpieczeństwa opublikowanego przez Cursor, zmodyfikowana wersja rozszerzenia, Anthropic.claude-code 2.1.313, była dostępna między 2:27 a 13:35 czasu pacyficznego. Odpowiada to przedziałowi od 10:27 do 21:35 we Francji. Wydawca twierdzi, że ta wersja nie została opracowana przez Anthropic i dotknęła maksymalnie 5 000 użytkowników, z którymi chce się bezpośrednio skontaktować.
Cursor usunął tę wersję zaraz po jej wykryciu, następnie profilaktycznie zamknął cały swój marketplace, zmienił klucze i odbudował usługę. Firma twierdzi również, że uzyskała od hostingu wyłączenie serwera atakującego: tunel i przesyłanie informacji już nie działają. Dodaje, że nie ma dowodów, by inne wersje rozszerzenia były zagrożone. Jej komunikat na X został udostępniony przez The Hacker News:
Co robią tylne drzwi na maszynie?
Według analizy OpenSourceMalware, loader o długości 66 linii został dołączony przed legalnym kodem głównego pliku rozszerzenia. Uruchamia się natychmiast po załadowaniu rozszerzenia: nie trzeba otwierać rozmowy z Claude. Zbiera nazwę maszyny, użytkownika, system, globalny adres e-mail Git oraz nazwy zmiennych środowiskowych zawierających słowa takie jak « KEY » lub « TOKEN ». Wartości nie są przesyłane w pierwszej wiadomości, ale same nazwy wystarczają, by ujawnić używane usługi.
Kod następnie dodaje klucz SSH oznaczony « svc-telemetry » do pliku authorized_keys, próbuje aktywować usługę SSH i otwiera tunel zwrotny do adresu 134.209.82.225. Aby przetrwać, instaluje się pod mylącą nazwą: na macOS jako LaunchAgent o nazwie « com.apple.sysmond », który nie jest komponentem Apple; na Windows jako zaplanowane zadanie « SysMon ». Według Cursor skrypty ponawiają tunel co około 60 sekund, a raport jest wysyłany na port 8099 serwera.
Atak częściowo ograniczony przez własne błędy
To nie jest automatyczne przejęcie kontroli. Cursor wyjaśnia, że aktywacja usługi SSH wymaga uprawnień administratora, których rozszerzenie nie posiada na większości Maców i PC z Windows. Na tych maszynach atakujący nie mógłby więc połączyć się przez tunel. Klucz, trwałość i przesyłanie informacji pozostają jednak aktywne, co uzasadnia konieczność oczyszczenia.
Open VSX czy marketplace Cursor: skąd pochodziła zainfekowana wersja?
Źródła się nie zgadzają. Cursor, a potem The Hacker News w poprawionej wersji, wskazują na dystrybucję wyłącznie na marketplace Cursor, bez dowodów na dotarcie do Open VSX czy Marketplace Microsoft. Natomiast Help Net Security i firma bezpieczeństwa Phorion mówią o paczce opublikowanej na Open VSX, rejestrze zarządzanym przez fundację Eclipse.
OpenSourceMalware z kolei przeanalizował egzemplarz pobrany z Open VSX, zaznaczając jednak, że pochodzenie badanej paczki nie jest ustalone. Według The Hacker News Anthropic opublikował od tego czasu wersję 2.1.314 na Open VSX i Marketplace Microsoft. Nie znaleźliśmy żadnego oświadczenia Anthropic dotyczącego incydentu.
Jak sprawdzić, czy jesteś dotknięty?
Pytanie dotyczy tylko tych, którzy zainstalowali lub zaktualizowali Anthropic.claude-code 2.1.313 z marketplace Cursor w podanym przedziale czasowym. Cursor oferuje weryfikację: czy klucz « svc-telemetry » znajduje się w twoich autoryzowanych kluczach SSH? Na macOS:
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"Cursor udostępnia także polecenie PowerShell dla Windows, ale nie dla Linux. Jeśli klucz się pojawi, maszyna jest zainfekowana i Cursor zaleca następujące kroki:
- odizolować maszynę i poszukać wskaźników kompromitacji wymienionych w jego komunikacie
- uruchomić dostarczony skrypt oczyszczający dla macOS lub Windows, ponieważ odinstalowanie rozszerzenia nie wystarczy: autonomiczne skrypty nadal działają
- zmienić dane uwierzytelniające i sesje dostępne z maszyny, korzystając z zaufanego systemu
Pozostaje pytanie, na które nikt nie odpowiedział: kto naprawdę opublikował tę wersję i z jakim dostępem?
