В течение примерно одиннадцати часов 29 октября на маркетплейсе Cursor распространялась поддельная версия расширения Claude Code, выданная за версию от Anthropic. Она пыталась установить SSH-бэкдор на компьютеры разработчиков: по данным Cursor, максимум 5000 человек.
Что произошло на маркетплейсе Cursor?
Согласно сообщению о безопасности, опубликованному Cursor, модифицированная версия расширения Anthropic.claude-code 2.1.313 была доступна с 02:27 до 13:35 по тихоокеанскому времени. Это соответствует промежутку с 10:27 до 21:35 по времени Франции. Разработчик заявляет, что эта версия не была создана Anthropic и затронула не более 5000 пользователей, с которыми компания намерена связаться напрямую.
Cursor удалил версию сразу после обнаружения, затем в целях предосторожности полностью закрыл свой маркетплейс, сменил ключи и перестроил сервис. Компания также сообщает, что добилась от хостинг-провайдера отключения сервера злоумышленника: туннель и передача данных больше не работают. Она добавляет, что нет доказательств затронутости других версий расширения. Её сообщение в X было перепечатано The Hacker News:
Что делает этот бэкдор на машине?
Согласно анализу OpenSourceMalware, загрузчик из 66 строк был вставлен перед легитимным кодом основного файла расширения. Он выполняется сразу при загрузке расширения: открывать диалог с Claude не нужно. Он собирает имя машины, пользователя, систему, глобальный email Git и имена переменных окружения, содержащих слова вроде «KEY» или «TOKEN». Значения не отправляются в первом запросе, но одни имена уже раскрывают используемые сервисы.
Затем код добавляет SSH-ключ с меткой «svc-telemetry» в файл authorized_keys, пытается активировать SSH-сервис и открывает обратный туннель на адрес 134.209.82.225. Для обеспечения устойчивости он устанавливается под обманчивым именем: в macOS это LaunchAgent «com.apple.sysmond», не имеющий отношения к Apple; в Windows — запланированная задача «SysMon». По данным Cursor, скрипты перезапускают туннель примерно каждые 60 секунд, а отчёт отправляется на порт 8099 сервера.
Атака, частично ограниченная собственными ошибками
Это не автоматический захват контроля. Cursor поясняет, что активация SSH-сервиса требует прав администратора, которых у расширения нет на большинстве Mac и ПК с Windows. На таких машинах злоумышленник не смог бы подключиться через туннель. Однако ключ, механизм устойчивости и отправка информации остаются на месте, что оправдывает необходимость очистки в любом случае.
Open VSX или маркетплейс Cursor: откуда взялась вредоносная версия?
Источники расходятся во мнениях. Cursor, а затем и The Hacker News в исправленной версии статьи, указывают на распространение исключительно через маркетплейс Cursor, без доказательств её попадания на Open VSX или Marketplace Microsoft. Напротив, Help Net Security и компания безопасности Phorion говорят о пакете, опубликованном на Open VSX — реестре под управлением фонда Eclipse.
OpenSourceMalware, со своей стороны, проанализировал экземпляр, полученный с Open VSX, одновременно уточнив, что происхождение исследуемой папки не установлено. По данным The Hacker News, Anthropic с тех пор опубликовала версию 2.1.314 на Open VSX и на Marketplace Microsoft. Мы не нашли никаких заявлений Anthropic об инциденте.
Как узнать, затронуты ли вы?
Вопрос касается только тех, кто устанавливал или обновлял Anthropic.claude-code 2.1.313 через маркетплейс Cursor в указанный промежуток времени. Cursor предлагает проверку: присутствует ли ключ «svc-telemetry» в ваших авторизованных SSH-ключах? В macOS:
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"Cursor также предоставляет команду PowerShell для Windows, но не для Linux. Если ключ обнаружен, машина заражена, и Cursor рекомендует следующие шаги:
- изолировать машину и проверить перечисленные в сообщении индикаторы компрометации
- запустить предоставленный скрипт очистки для macOS или Windows, так как удаления расширения недостаточно: автономные скрипты продолжают работать
- сменить учётные данные и сессии, доступные с этой машины, с доверенной системы
Остаётся вопрос, на который никто не дал ответа: кто на самом деле опубликовал эту версию и каким доступом он обладал?
