Claude Code拡張2.1.313にSSHバックドア、Cursorで配布

VS Code向けClaude Code拡張機能の改ざん版「2.1.313」が、拡張機能カタログのOpen VSXとCursorのマーケットプレイスで見つかった。macOS、Linux、Windowsの開発者のPCにSSHバックドアを設置しようとする内容だった。Microsoft公式のVisual Studio Marketplaceには出回っていない。

最初に不審な挙動を検知したのはセキュリティ企業Phorionで、バージョン2.1.313の有無を直ちに確認し、見つかればインシデント対応を始めるよう組織に促した。Cursorも事案を認め、影響を受けたユーザーは最大5000人で、個別に連絡するとしている。

拡張機能の挙動

Cursorによると、この拡張機能はホスト名、ユーザー名、OS、アーキテクチャ、ホームディレクトリのパス、環境変数名、作業ディレクトリ、Gitのメールアドレス、パブリックIPを収集する。さらに攻撃者のSSH鍵をauthorized_keysに追加し、ローカルSSHサービスを有効化して、リバースSSHトンネルを開こうとする。ただしコードの不具合により、この段階は通常失敗する。Cursorが管理者権限で動いていた例外的な場合を除く。

常駐化にはmacOSでLaunchAgent、Windowsでタスクスケジューラーと起動スクリプトを使い、約60秒ごとにトンネルの再接続を試みる。ホストやバックドアの状態は、ポート8099の/beaconへHTTP POSTで送信される。

各社の対応

Anthropicは悪意あるバージョンを削除し、2.1.314に差し替えた。独立した検証でも不正コードは確認されていない。ただし更新しても、すでに感染した環境のバックドアは消えないため、利用者側での対処が必要だ。

Cursorはマーケットプレイスを一時停止し、アクセス監査で他の拡張機能が無事なことを確認したうえで、鍵を更新して再構築した。攻撃者のサーバーもホスティング事業者と連携して停止し、通信を遮断した。

拡張機能はAnthropicが開発したものではないが、同社の検証済みアカウント経由でアップロードされており、サプライチェーン攻撃とみられる。Anthropicは顧客へ通知していないという。