Złośliwe rozszerzenie Claude Code 2.1.313 instalowało backdoor SSH

W katalogu rozszerzeń Open VSX oraz w sklepie Cursor znaleziono złośliwą wersję oficjalnego rozszerzenia Claude Code dla VS Code. Wersja 2.1.313 miała instalować na komputerach programistów trwały backdoor SSH w systemach macOS, Linux i Windows. Mowa o ataku na łańcuch dostaw oprogramowania.

Jako pierwsza podejrzaną aktywność na urządzeniach końcowych wykryła firma Phorion. Zaleciła organizacjom natychmiastowe sprawdzenie środowisk pracy pod kątem wersji 2.1.313 i uruchomienie procedury reagowania na incydenty. W oficjalnym Microsoft Visual Studio Marketplace ta wersja się nie pojawiła. Anthropic zastąpiło ją wersją 2.1.314, a zainfekowaną usunęło. Niezależna kontrola nie wykazała w nowej wersji złośliwego kodu.

Co robił złośliwy kod

Według Cursora rozszerzenie zbierało dane o hoście i użytkowniku: nazwę hosta i użytkownika, system, architekturę, katalog domowy, nazwy zmiennych środowiskowych, katalogi robocze, adres e-mail z konfiguracji Git i publiczny adres IP. Próbowało też dodać klucz SSH atakującego do pliku authorized_keys, włączyć lokalną usługę SSH i otworzyć odwrócony tunel SSH. Przez błędy w kodzie ten etap zwykle się nie udawał, poza rzadkimi przypadkami uruchomienia Cursora z uprawnieniami administratora.

Dla trwałości tunelu używano LaunchAgent na macOS, a w Windows zaplanowanego zadania z zapasowym skryptem autostartu. Skrypty próbowały odtwarzać tunel mniej więcej co 60 sekund. Dane o hoście i stanie backdoora trafiały żądaniem POST na punkt /beacon (port 8099).

Cursor potwierdził incydent i podał, że dotknął nie więcej niż 5000 użytkowników, z którymi firma skontaktuje się bezpośrednio. Złośliwą wersję usunięto, na krótko wyłączono marketplace, zrobiono audyt dostępu (inne rozszerzenia nie były naruszone), zmieniono klucze i odbudowano sklep. Serwer atakujących odłączono przy współpracy z dostawcą hostingu.

Co dalej

Aktualizacja do 2.1.314 nie usuwa backdoora z już zainfekowanych maszyn ani skutków wcześniejszej aktywności. Cursor twierdzi, że wersja nie została stworzona przez Anthropic, jednak trafiła do sieci przez zweryfikowane konto firmy. Anthropic według doniesień nie poinformowało klientów o incydencie.