Claude Code 2.1.313 : une extension piégée installait une porte dérobée SSH

Une version compromise de l'extension officielle Claude Code pour VS Code a circulé sur le registre Open VSX et sur la place de marché de Cursor. Elle tentait d'installer une porte dérobée SSH persistante sur les postes de développeurs sous macOS, Linux et Windows. La version concernée est la 2.1.313.

Les chercheurs en sécurité de Phorion ont été les premiers à repérer une activité suspecte sur des terminaux. Ils invitent les organisations à vérifier la présence de la version 2.1.313 dans leurs environnements et, le cas échéant, à lancer une procédure de réponse à incident. Cette version n'est jamais apparue sur le Visual Studio Marketplace officiel de Microsoft. Anthropic l'a depuis remplacée par la 2.1.314, et un contrôle indépendant n'y a trouvé aucun code malveillant.

Le comportement du logiciel malveillant

Selon Cursor, qui a confirmé l'incident et évoque au plus 5 000 utilisateurs touchés, l'extension collectait le nom d'hôte, le nom d'utilisateur, le système d'exploitation, l'architecture, le chemin du répertoire personnel, les noms des variables d'environnement, les répertoires de travail, l'adresse e-mail Git configurée et l'adresse IP publique.

Elle tentait ensuite d'ajouter une clé contrôlée par l'attaquant au fichier authorized_keys, d'activer le service SSH local et d'ouvrir un tunnel SSH inversé. En raison d'erreurs dans le code, cette étape échouait en général, sauf dans de rares cas où Cursor s'exécutait avec des droits d'administrateur. Pour persister, le code recourait à un LaunchAgent sous macOS ou à une tâche planifiée sous Windows, avec une nouvelle tentative environ toutes les 60 secondes, et envoyait des données d'état par requête HTTP POST vers un point d'accès /beacon sur le port 8099.

Cursor indique avoir retiré l'extension, suspendu temporairement sa place de marché VS Code, audité les accès sans trouver d'autre extension compromise, renouvelé les clés, reconstruit la plateforme et, avec l'hébergeur, coupé le serveur malveillant.

Ce que doivent faire les utilisateurs

La mise à jour vers la 2.1.314 ne supprime pas une porte dérobée déjà installée ni ne corrige les effets d'une activité antérieure : les développeurs concernés doivent inspecter leurs machines. Cursor affirme que la version n'a pas été conçue par Anthropic, mais elle a été publiée via le compte vérifié de l'entreprise, ce qui évoque une attaque contre la chaîne d'approvisionnement. La version malveillante aurait été retirée sans avertir les clients.

L'épisode survient peu après l'arrivée, dans Claude Code v2.1.311, d'une variable d'environnement permettant à l'agent d'IA de supprimer des fichiers sans confirmation.