В Claude Code нашли бэкдор
Через маркетплейс редактора кода Cursor распространялась заражённая версия расширения Claude Code. Об инциденте сообщила сама Cursor.
Вредоносная версия 2.1.313 выдавала себя за официальное расширение anthropic.claude-code и была доступна 29 октября примерно с 12:27 до 23:35 по Москве. За это время её могли установить до 5000 пользователей. В Cursor подчеркнули, что Anthropic эту версию не разрабатывала, а сама компания свяжется со всеми пострадавшими.
Заражение первыми заметили исследователи OpenSourceMalware. Расширение полностью повторяло оригинал, отличался только главный файл extension.js: перед легитимным кодом в него вставили загрузчик из 66 строк. Он срабатывал при запуске VS Code, начинать диалог с Claude для этого не требовалось.
«Любой, у кого включено автообновление Claude Code, мог получить вредоносную версию», — сказала сооснователь OpenSourceMalware Дженн Гайл.
Загрузчик добавлял ключ злоумышленника в файл authorized_keys, пытался включить на компьютере SSH-сервер и поднимал обратный туннель к серверу атакующего. Так злоумышленник получал удалённый доступ к машине. Чтобы закрепиться в системе, вредонос создавал задачу в планировщике Windows, запись в crontab на Linux или LaunchAgent на macOS, замаскированные под системные службы.
Атакующему также отправлялись сведения о компьютере:
- публичный IP-адрес;
- имя компьютера и пользователя;
- операционная система и архитектура процессора;
- домашняя и текущая рабочая папки;
- email из глобальных настроек Git;
- названия до 40 переменных окружения со словами KEY, TOKEN, SECRET, PASS, AWS или GCP.
Значения переменных вредонос не передавал, но по их названиям видно, какие облачные сервисы и ключи используются на машине. Дополнительных вредоносных модулей исследователи не обнаружили.
По данным Cursor, для включения SSH-сервера нужны права администратора, которых у расширения на большинстве компьютеров с macOS и Windows нет. На таких машинах войти через туннель злоумышленник не мог, но ключ, закрепление в системе и отправка данных всё равно срабатывали.
Cursor удалила вредоносную версию, на время закрыла весь маркетплейс расширений и вместе с хостинг-провайдером отключила сервер атакующего. Как именно злоумышленник получил доступ к маркетплейсу, компания не раскрыла. Anthropic уже выпустила чистую версию 2.1.314 в Open VSX и Visual Studio Marketplace. Расширения из этих каталогов и npm-пакет Claude Code инцидент не затронул.
Пострадавшим Cursor рекомендует найти и удалить ключ svc-telemetry, запустить опубликованные компанией скрипты очистки, сменить пароли, токены и сессии с доверенного устройства и оценить, не нужно ли переустановить систему.