改ざんされたClaude Code拡張機能、端末にSSHバックドアを設置

Cursorは10月29日、太平洋時間2時27分から13時35分まで、Anthropic.claude-code拡張機能の悪意あるバージョン2.1.312と2.1.313を配布した。パッケージは認証済みアカウントからの正規更新に見え、Ars Technicaは最大5,000人に影響した可能性を報じている。

更新は不正なSSH鍵を追加し60秒ごとに接続を試みた

悪意あるコードは、hostname、ユーザー名、OS、アーキテクチャ、ホームディレクトリ、環境変数名、作業ディレクトリ、Gitメールアドレス、公開IPを収集し、攻撃者のサーバーへ送信した。

さらに、svc-telemetryという公開鍵をauthorized_keysへ追加し、ローカルSSHサービスの有効化とreverse SSH tunnelの開設を試みた。macOSではLaunchAgent、Windowsではscheduled taskまたは起動時scriptを使って永続化し、補助プロセスは約60秒ごとに接続を再試行した。

Cursorは悪意ある版を削除し、Marketplaceを一時停止し、鍵を更新した。ホスティング事業者と協力して制御サーバーも停止した。監査では、他のバージョンや拡張機能への影響は確認されていないという。

開発者向け拡張機能はソースコードと認証情報の隣で動く

エディター拡張機能は作業ディレクトリへアクセスでき、IDEと同じ権限で動作する。攻撃者はClaudeモデルそのものを侵害する必要がなかった。自動更新されることもある信頼済みの配布経路へコードを入れるだけでよかった。

環境変数名だけでは値は分からないが、cloud認証情報やAPI tokenがありそうな端末を選別できる。SSH tunnelが動けば、そのユーザーが読めるファイル、repository、追加の認証情報へ到達できる。

この事件は、製品の安全性と配布経路の安全性が別物だと示した。公式source codeが正常でも、認証済みアカウントとMarketplaceは別の鎖を作る。今回はそこが破られたが、CursorもAnthropicもアカウント侵害の方法を公表していない。

malwareの不具合は接続を妨げたが、端末上の変更は残した

SSHサービスの有効化には通常、管理者権限が必要だ。Cursorによると、多くのmacOSおよびWindows端末では完全なtunnelの確立に失敗した。制御サーバーも現在は停止している。遠隔接続の可能性は下がったが、ディスク上の変更は元に戻らない。

パッケージは不正な鍵、独立した永続化script、端末情報の送信を残しうる。安全な2.1.314への更新や拡張機能の削除だけでは、これらは自動的に消えない。Cursorはsvc-telemetry鍵の検索、影響端末の隔離、信頼できる端末からの認証情報更新を勧めている。

アカウント侵害の説明がMarketplaceへの信頼を左右する

最も重要な未解明点は、攻撃者が認証済み配布アカウントへ入った経路だ。それが分からなければ、鍵の更新で問題が閉じたのか、同じ弱点が他のpublisherにも及ぶのか判断できない。Cursorはpayloadと端末の復旧手順を詳しく説明したが、侵害の起点は説明していない。

次に必要なのは、正確なinstall数、payload実行数、接続成功数だ。組織は当面、拡張機能のinstallを本番環境の新規依存関係と同じように監視すべきだ。Marketplaceの認証バッジが証明するのは画面上のpublisherであり、各更新の安全性ではない。

Lilithの判定

認証バッジが扉を押さえる横で、自動更新は攻撃者のSSH鍵を運び込んだ。アカウント侵害を説明できないMarketplaceは、領収書なしで信頼を売っている。