Napadený doplněk Claude Code nechal v počítačích SSH zadní vrátka

Cursor 29. října mezi 2:27 a 13:35 pacifického času nabízel škodlivé verze 2.1.312 a 2.1.313 doplňku Anthropic.claude-code. Balíček se vydával za legitimní aktualizaci z ověřeného účtu a Ars Technica uvádí, že mohl zasáhnout až 5 000 uživatelů.

Aktualizace přidala cizí SSH klíč a minutovou smyčku

Škodlivý kód sbíral hostname, uživatelské jméno, operační systém, architekturu, domovskou cestu, názvy proměnných prostředí, pracovní adresáře, Git e-mail a veřejnou IP adresu. Tyto údaje odesílal na server útočníka.

Současně připojil veřejný klíč označený svc-telemetry do authorized_keys, pokusil se zapnout lokální SSH službu a otevřít reverzní SSH tunel. Na macOS zakládal LaunchAgent, na Windows plánovanou úlohu nebo záložní spouštěcí skript. Pomocné procesy zkoušely spojení znovu přibližně každých 60 sekund.

Cursor škodlivé verze odstranil, marketplace dočasně vypnul, otočil klíče a nechal hostingového poskytovatele odstavit řídicí server. Firma uvádí, že jiné verze ani další doplňky podle jejího auditu zasaženy nebyly.

Vývojářský doplněk běží vedle zdrojového kódu a přihlašovacích údajů

Doplněk editoru má přístup k pracovním adresářům a běží s oprávněními IDE. Útočník proto nemusel napadat samotný model Claude. Stačilo mu dostat kód do distribučního kanálu, kterému vývojáři důvěřují a který může aktualizovat doplňky automaticky.

Názvy proměnných prostředí samy neprozrazují jejich hodnoty, ale prozradí, na kterém stroji stojí za to hledat cloudové klíče nebo API tokeny. Funkční SSH tunel by pak otevřel cestu k souborům, repozitářům a dalším přihlašovacím údajům dostupným uživateli.

Incident také odděluje bezpečnost produktu od bezpečnosti jeho distribuce. Oficiální kód může být čistý, ale ověřený účet a marketplace tvoří další článek řetězce. Právě ten tentokrát selhal, přičemž způsob převzetí účtu zatím Cursor ani Anthropic veřejně nevysvětlily.

Chyby v malwaru omezily přístup, ne následky instalace

Zapnutí SSH služby obvykle vyžaduje administrátorská oprávnění. Cursor proto uvádí, že pokus o plně funkční tunel na většině macOS a Windows strojů selhal. Řídicí server už navíc nefunguje. To snižuje pravděpodobnost vzdáleného přihlášení, ale nemaže změny provedené na disku.

Balíček přesto mohl přidat cizí klíč, uložit samostatné skripty pro perzistenci a odeslat popis stroje. Pouhá instalace bezpečné verze 2.1.314 ani odinstalace doplňku tyto soubory automaticky neodstraní. Cursor proto doporučuje hledat klíč svc-telemetry, izolovat zasažené stroje a měnit přístupové údaje z důvěryhodného zařízení.

Odpověď na převzetí účtu rozhodne o důvěře v marketplace

Nejdůležitější chybějící fakt je cesta útočníka k ověřenému distribučnímu účtu. Bez ní nelze posoudit, zda stačí rotace klíčů, nebo zda stejná slabina může zasáhnout další vydavatele. Cursor zatím popsal payload a nápravu na koncových strojích lépe než původ kompromitace.

Dalším testem bude přesný počet instalací, potvrzených spuštění payloadu a úspěšných spojení. Organizace by mezitím měly kontrolovat telemetrii instalací doplňků stejně jako nové balíčky v produkci. Marketplace odznak potvrzuje identitu vydavatele v rozhraní, nikoli bezpečnost každé aktualizace.

Lilithin verdikt

Ověřený odznak držel dveře, zatímco automatická aktualizace nesla dovnitř cizí SSH klíč. Marketplace, který neumí vysvětlit převzetí účtu, prodává důvěru bez účtenky.