Расширение для программирования с ИИ на несколько часов превратилось в инструмент установки бэкдора. 29 октября в магазине Cursor распространялась подменённая версия Anthropic.claude-code 2.1.313, которая пыталась открыть удалённый доступ к компьютерам разработчиков. Компания подтвердила, что под угрозой оказались не более 5000 пользователей. Anthropic вредоносную сборку не выпускала.
Заражённый пакет был доступен примерно с 09:27 до 20:35 по UTC. Специалисты StepSecurity обнаружили в файле extension.js дополнительный загрузчик, встроенный перед обычным кодом Claude Code. Вредоносный сценарий запускался при загрузке расширения, без отдельной команды пользователя или переписки с ИИ. Причина подмены официального пакета пока не установлена.
Сначала код собирал имя компьютера и пользователя, сведения об операционной системе, архитектуру процессора, пути рабочих каталогов, адрес электронной почты из Git и внешний IP-адрес. В отчёт также попадали имена переменных окружения, но не их значения. Собранные сведения отправлялись на сервер злоумышленника HTTP-запросом через порт 8099.
Следующий этап предусматривал добавление чужого SSH-ключа в authorized_keys, запуск SSH-сервера и создание обратного туннеля к атакующему. Такой туннель позволил бы подключаться к компьютеру извне. Однако на большинстве компьютеров с macOS и Windows попытка включить SSH проваливалась из-за отсутствия административных прав и ошибок в коде.
Неудачная попытка открыть туннель не означала, что вредоносная программа ничего не сделала. Чужой ключ оставался в настройках SSH, а для повторных подключений создавались фоновые задания. На macOS применялся LaunchAgent, на Windows планировщик задач или скрипт автозагрузки. Попытки соединиться с сервером повторялись приблизительно раз в минуту.
Cursor удалила опасную версию и временно отключила весь магазин расширений. После проверки доступа компания не нашла признаков изменения других пакетов, сменила ключи, пересобрала площадку и восстановила её работу. Вместе с облачным провайдером удалось отключить сервер злоумышленника, поэтому обратный туннель и отправка данных на прежний адрес больше не работают.
Для проверки заражения Cursor предлагает искать в файле authorized_keys посторонний ключ с пометкой svc-telemetry. Простого удаления расширения недостаточно, поскольку фоновые сценарии способны продолжать работу самостоятельно. Компания опубликовала скрипты очистки для macOS и Windows, а при обнаружении следов атаки рекомендует изолировать компьютер и заменить доступные с него учётные данные.
Ранее опасность подмены расширений обсуждали применительно к рекомендациям внутри Cursor, но тогда речь шла о возможном сценарии. В мае уже произошёл другой взлом расширения Nx Console в магазине VS Code. Нынешний случай затронул конкретную версию Claude Code и подтверждает риск атаки через цепочку поставок, хотя сведений об успешных SSH-подключениях и дальнейшей компрометации пока нет.