Официальное расширение Claude Code в маркетплейсе Cursor подменили версией с SSH-бэкдором

Исследователи в области кибербезопасности сообщили о компрометации официального расширения Anthropic Claude Code для VS Code. Вредоносная версия устанавливала на заражённые машины постоянный SSH-бэкдор. Сначала источником называли реестр Open VSX, но затем инцидент связали со взломом маркетплейса расширений Cursor. Компания ненадолго отключила сервис, чтобы удалить вредоносный пакет.

В Cursor заявили, что инцидент затронул не более 5000 пользователей. Это те, кто установил вредоносную версию 29 октября 2026 года примерно с 2:27 до 13:35 по тихоокеанскому времени. По словам компании, вредоносную версию разработала не Anthropic, а другие расширения из маркетплейса не пострадали. Cursor обещает напрямую связаться с затронутыми пользователями.

Как устроена атака

По словам Дженн Гайл, сооснователя OpenSourceMalware, пакет представлялся как anthropic.claude-code версии 2.1.313. Однако перед легитимным кодом в основном JavaScript-бандле находился вредоносный загрузчик из 66 строк. Сейчас эта версия удалена, а Anthropic выпустила версию 2.1.314 в Open VSX и Microsoft VS Code Marketplace.

Расширение активировалось при запуске VS Code и при открытии своего webview. Затем оно добавляло ключ злоумышленника в файл ~/.ssh/authorized_keys. Для маскировки ключ получил безобидную метку «svc-telemetry».

Далее вредонос пытался сделать машину доступной по SSH в Windows, Linux и macOS. Он поднимал обратный туннель к адресу 134.209.82[.]225 и закреплялся в системе. В Windows для этого служила задача планировщика, в Linux — crontab, в macOS — LaunchAgent. Сведения о хосте отправлялись на порт 8099 того же адреса по незашифрованному HTTP.

В своём разборе Cursor уточняет, что для включения локальной SSH-службы нужны права администратора. На большинстве машин с macOS и Windows у расширения их нет, поэтому войти через туннель злоумышленник там не смог бы. Однако ключ, механизмы закрепления и отправка данных срабатывают и в этом случае. Поэтому компания советует выполнить меры по устранению последствий в любом случае.

Что собиралось

Вредонос передавал:

• публичный IP-адрес (через api.ipify[.]org);
• имя хоста и локального пользователя;
• операционную систему и архитектуру процессора;
• домашний и текущий рабочий каталоги;
• глобальный email из настроек Git;
• имена до 40 переменных окружения, содержащих KEY, TOKEN, SECRET, PASS, AWS или GCP.

Исследователь Пол Маккарти отмечает, что значения переменных в первоначальное сообщение не попадали. Но и по их именам можно понять, какие облачные провайдеры, CI-системы и типы учётных данных используются. Главное же в том, что успешный SSH-доступ позволил бы изучить учётную запись напрямую.

Других вредоносных нагрузок пока не обнаружено. Тем не менее обратный туннель открывает путь к SSH-службе жертвы, а значит, к выполнению команд и передаче файлов. Гайл предупреждает: пакет удалили очень быстро, но получить его могли все, у кого включено автообновление Claude Code.

Пострадавшим рекомендуется изолировать машины и удалить посторонний SSH-ключ и механизмы закрепления. Учётные данные и сессии следует сменить.

Инцидент произошёл чуть больше чем через неделю после другой атаки на цепочку поставок. Тогда неизвестный злоумышленник подменил бинарные файлы пяти уже опубликованных релизов официального CLI OVHcloud программой для кражи секретов. Он использовал GitHub-аккаунт легитимного контрибьютора, взломанный в марте 2026 года в рамках кампании GlassWorm.

Источник: The Hacker News