Zainfekowane rozszerzenie Claude Code zostawiało backdoor SSH

29 października między 2:27 a 13:35 czasu pacyficznego Cursor udostępniał złośliwe wersje 2.1.312 i 2.1.313 rozszerzenia Anthropic.claude-code. Pakiet wyglądał jak legalna aktualizacja ze zweryfikowanego konta, a Ars Technica podaje, że mógł dotrzeć nawet do 5 000 użytkowników.

Aktualizacja dodawała obcy klucz SSH i pętlę co 60 sekund

Złośliwy kod zbierał nazwę hosta, użytkownika, system operacyjny, architekturę, ścieżkę katalogu domowego, nazwy zmiennych środowiskowych, katalogi robocze, skonfigurowany e-mail Git oraz publiczny adres IP. Dane wysyłał na serwer atakującego.

Dopisywał też klucz publiczny oznaczony svc-telemetry do authorized_keys, próbował uruchomić lokalną usługę SSH i otworzyć odwrotny tunel SSH. W macOS tworzył LaunchAgent, a w Windows używał zaplanowanego zadania lub skryptu startowego. Procesy pomocnicze ponawiały połączenie mniej więcej co 60 sekund.

Cursor usunął złośliwe wersje, tymczasowo wyłączył marketplace, zmienił klucze i doprowadził do odłączenia serwera sterującego przez dostawcę hostingu. Firma twierdzi, że audyt nie wykazał naruszenia innych wersji ani rozszerzeń.

Rozszerzenie dla programisty działa obok kodu i danych dostępowych

Rozszerzenie edytora ma dostęp do katalogów roboczych i działa z uprawnieniami IDE. Atakujący nie musiał przejmować samego modelu Claude. Wystarczyło umieścić kod w zaufanym kanale dystrybucji, zwłaszcza że rozszerzenia mogą aktualizować się automatycznie.

Nazwy zmiennych środowiskowych nie ujawniają ich wartości, lecz wskazują maszyny przechowujące potencjalnie cenne dane do chmury lub tokeny API. Działający tunel SSH mógł następnie otworzyć dostęp do plików, repozytoriów i innych danych dostępnych dla użytkownika.

Incydent pokazuje różnicę między bezpieczeństwem produktu a bezpieczeństwem dystrybucji. Oficjalny kod może pozostać czysty, podczas gdy zweryfikowane konto i marketplace tworzą kolejny element łańcucha. Tym razem zawiódł właśnie on, a Cursor ani Anthropic nie wyjaśniły publicznie sposobu przejęcia konta.

Błędy malware ograniczyły dostęp, ale nie cofnęły instalacji

Uruchomienie usługi SSH zwykle wymaga uprawnień administratora. Cursor podaje więc, że próba zestawienia w pełni działającego tunelu nie udała się na większości komputerów z macOS i Windows. Serwer sterujący również już nie działa. Zmniejsza to ryzyko zdalnego logowania, lecz nie usuwa zmian na dysku.

Pakiet mógł nadal dodać obcy klucz, zainstalować osobne skrypty trwałości i wysłać profil hosta. Instalacja bezpiecznej wersji 2.1.314 lub usunięcie rozszerzenia nie kasuje tych artefaktów automatycznie. Cursor zaleca wyszukanie klucza svc-telemetry, odizolowanie dotkniętych komputerów i zmianę danych dostępowych z zaufanego urządzenia.

Wyjaśnienie przejęcia konta zdecyduje o zaufaniu do marketplace

Najważniejszą brakującą informacją jest droga atakującego do zweryfikowanego konta dystrybucyjnego. Bez niej nie wiadomo, czy zmiana kluczy zamyka problem, czy ta sama słabość zagraża innym wydawcom. Cursor dokładniej opisał payload i naprawę urządzeń niż źródło kompromitacji.

Kolejne potrzebne liczby to dokładna liczba instalacji, potwierdzonych uruchomień payloadu i udanych połączeń. Organizacje powinny tymczasem monitorować instalacje rozszerzeń tak samo jak nowe zależności produkcyjne. Odznaka marketplace potwierdza wydawcę wyświetlanego w interfejsie, a nie bezpieczeństwo każdej aktualizacji.

Werdykt Lilith

Odznaka zweryfikowanego konta trzymała drzwi, gdy automatyczna aktualizacja wnosiła obcy klucz SSH. Marketplace bez wyjaśnienia przejęcia konta sprzedaje zaufanie bez paragonu.