В Cursor распространялась заражённая версия расширения Claude Code
Через маркетплейс расширений редактора кода Cursor распространялась вредоносная версия Claude Code. Инцидент обнаружили исследователи OpenSourceMalware, а затем о нём сообщила сама Cursor. Поддельное расширение имитировало официальный пакет anthropic.claude-code, хотя Anthropic к его разработке отношения не имела.
Опасная версия имела номер 2.1.313 и была доступна 29 октября примерно с 12:27 до 23:35 по московскому времени. По оценке Cursor, за этот период её могли установить до 5000 пользователей. Компания заявила, что свяжется со всеми потенциально пострадавшими.
Как работало расширение
Вредоносная программа почти полностью повторяла оригинальное расширение. Исследователи обнаружили отличие только в основном файле extension.js: перед легитимным кодом туда добавили загрузчик из 66 строк. Он запускался вместе с VS Code, поэтому пользователю не требовалось начинать диалог с Claude или отдельно активировать функции расширения.
По словам соосновательницы OpenSourceMalware Дженн Гайл, вредоносную версию мог получить любой пользователь с включённым автоматическим обновлением Claude Code. Загрузчик добавлял ключ злоумышленника в файл authorized_keys, пытался включить SSH-сервер и создавал обратный туннель к серверу атакующего. Это позволяло организовать удалённый доступ к компьютеру.
Для закрепления в системе расширение создавало задачу в планировщике Windows, запись в crontab на Linux или LaunchAgent на macOS. Эти элементы маскировались под системные службы. Кроме того, вредонос отправлял атакующему сведения о компьютере: публичный IP-адрес, имена устройства и пользователя, операционную систему, архитектуру процессора, домашнюю и текущую рабочие папки, а также email из глобальных настроек Git.
Отдельно собирались названия до 40 переменных окружения, содержащих слова KEY, TOKEN, SECRET, PASS, AWS или GCP. Их значения вредонос не передавал, однако сами названия могли раскрыть, какие облачные сервисы и типы ключей используются на машине. Дополнительных вредоносных модулей исследователи не обнаружили.
Ограничения атаки и реакция компаний
В Cursor уточнили, что для полноценного включения SSH-сервера нужны права администратора. На большинстве компьютеров под управлением macOS и Windows у расширения таких разрешений не было, поэтому удалённый вход через туннель на этих устройствах мог не сработать. При этом добавление ключа, механизм закрепления и сбор информации всё равно выполнялись.
Cursor удалила вредоносную версию и временно закрыла весь маркетплейс расширений. Вместе с хостинг-провайдером компания также отключила сервер атакующего. Каким образом злоумышленник получил доступ к площадке, Cursor не раскрыла.
Anthropic выпустила исправленную версию 2.1.314 в Open VSX и Visual Studio Marketplace. Расширения из этих каталогов и npm-пакет Claude Code, по имеющимся данным, инцидент не затронул.
Пользователям, которые могли установить версию 2.1.313, Cursor рекомендует найти и удалить ключ svc-telemetry, запустить предоставленные компанией скрипты очистки, а затем с доверенного устройства сменить пароли, токены и активные сессии. В зависимости от результатов проверки может потребоваться переустановка операционной системы.
