Вредоносные версии расширения Claude Code от Anthropic были распространены среди пользователей Cursor в рамках новой атаки на программную цепочку поставок. Инцидент произошел 29 октября, и затронутые версии были доступны всего около 11 часов. Они не исходили от Anthropic, которая заявляет, что ее официальные каналы не затронуты.
Версии 2.1.312 и 2.1.313 расширения anthropic.claude-code были доступны в маркетплейсе расширений VS Code от Cursor. Нацеленные как на пользователей macOS, так и Windows, они содержали код JavaScript, предназначенный для выполнения при загрузке определенных модулей и установки обратного SSH-туннеля для удаленного доступа к зараженной машине. По данным исследователя безопасности Кевина Бомона, около 5000 систем разработчиков могли загрузить эти версии.
Измененная копия, опубликованная через маркетплейс Cursor
Anthropic сообщила, что измененные версии не были разработаны компанией и не публиковались на Microsoft Visual Studio Marketplace, Open VSX или в реестре NPM. « Злоумышленник использовал доступ к маркетплейсу Cursor для публикации измененной копии расширения Claude Code, которую мы не создавали и не публиковали. Версии из наших официальных каналов не затронуты, и это затрагивает только пользователей Cursor », , заявил Феликс Ризеберг из Anthropic. Во избежание путаницы Anthropic напрямую обновила свою легитимную версию расширения до версии 2.1.314.
Со стороны Cursor вредоносное расширение было удалено из магазина сразу после обнаружения, а маркетплейс был приостановлен на время расследования. Cursor сообщает, что не обнаружил других вредоносных расширений, обновил все свои ключи, перестроил и вновь открыл маркетплейс. Компания также сотрудничала с облачным провайдером, на котором размещался сервер злоумышленника, чтобы вывести его из строя. « У нас нет доказательств того, что другие версии расширения или официальное распространение затронуты », , уточнил Cursor.
Действия по сбору информации и обеспечению устойчивости
Согласно анализу, опубликованному Microsoft, функция JavaScript, выполняемая при загрузке, собирала информацию о машине, изменяла файлы и запускала системные команды. По данным Microsoft, код пытался установить SSH-ключ, активировать службу SSH, создать туннель и настроить его устойчивость, то есть способность оставаться активным после перезагрузки. « Загрузчик сначала собирает информацию о хосте. Затем он пытается установить SSH-ключ, активировать SSH, создать обратный туннель и настроить устойчивость. Затем отложенный обратный вызов пытается отправить данные о хосте », , сообщает Microsoft. Исследователи наблюдали сбор имени хоста, имени пользователя, операционной системы, архитектуры, рабочего каталога и глобального адреса электронной почты Git, а также развертывание платформенно-специфичных скриптов. По данным Cursor, активация службы SSH требует прав администратора, которых у расширения нет на большинстве систем macOS и Windows: поэтому этот шаг завершился неудачей, что, вероятно, помешало злоумышленникам подключиться через туннель.
Cursor рекомендует пользователям как можно скорее удалить вредоносные версии и опубликовал скрипт для обнаружения, а также индикаторы компрометации. Компания уточняет, что удаление расширения может быть недостаточно, поскольку вредоносная нагрузка размещает автономные скрипты для обеспечения устойчивости, которые продолжают работать.
