В маркетплейсе Cursor обнаружили вредоносную версию Claude Code
Через маркетплейс редактора кода Cursor распространялась вредоносная версия расширения Claude Code. Инцидент обнаружили исследователи OpenSourceMalware, после чего о нём сообщила сама Cursor.
Поддельное расширение имело номер версии 2.1.313 и представлялось официальным пакетом anthropic.claude-code. Оно было доступно 29 октября примерно с 12:27 до 23:35 по московскому времени. За этот период его могли установить до 5000 пользователей. В Cursor подчеркнули, что Anthropic не участвовала в разработке этой версии.
Как работал вредоносный код
Расширение почти полностью повторяло оригинал. Отличие нашли в файле extension.js: перед легитимным кодом злоумышленники добавили загрузчик размером 66 строк. Он запускался вместе с VS Code, поэтому пользователю не требовалось начинать диалог с Claude или отдельно активировать функции расширения.
По словам соосновательницы OpenSourceMalware Дженн Гайл, вредоносную версию могли получить пользователи с включённым автоматическим обновлением Claude Code. Загрузчик добавлял ключ злоумышленника в файл authorized_keys, пытался включить SSH-сервер и создавал обратный туннель к серверу атакующего. Это позволяло организовать удалённый доступ к компьютеру.
Для закрепления в системе расширение создавало задачу в планировщике Windows, запись в crontab на Linux или LaunchAgent на macOS. Эти элементы маскировались под системные службы. Дополнительных вредоносных модулей исследователи не обнаружили.
Какие данные могли передаваться
Злоумышленнику отправлялись публичный IP-адрес, имя компьютера и пользователя, операционная система, архитектура процессора, домашняя и текущая рабочие папки, а также адрес электронной почты из глобальных настроек Git.
Кроме того, вредонос собирал названия до 40 переменных окружения, если в них встречались слова KEY, TOKEN, SECRET, PASS, AWS или GCP. Их значения не передавались, однако сами названия могли раскрыть, какие облачные сервисы и типы ключей используются на компьютере.
Cursor уточнила, что для включения SSH-сервера требуются права администратора. На большинстве компьютеров под управлением macOS и Windows расширение ими не обладало, поэтому полноценный вход через туннель на таких устройствах мог быть невозможен. При этом добавление ключа, закрепление в системе и сбор сведений всё равно выполнялись.
Что сделали Cursor и Anthropic
Cursor удалила вредоносную версию и временно закрыла весь маркетплейс расширений. Вместе с хостинг-провайдером компания также отключила сервер злоумышленника. Каким образом атакующему удалось получить доступ к маркетплейсу, Cursor не раскрыла.
Anthropic выпустила чистую версию расширения 2.1.314 в Open VSX и Visual Studio Marketplace. Расширения из этих каталогов и npm-пакет Claude Code, согласно заявлению Cursor, инцидент не затронул.
Пользователям, которые могли установить версию 2.1.313, рекомендуют найти и удалить ключ svc-telemetry, запустить скрипты очистки, подготовленные Cursor, а затем с доверенного устройства сменить пароли, токены и активные сессии. В зависимости от результатов проверки также может потребоваться переустановка операционной системы.
