Подменённое расширение Claude Code в маркетплейсе Cursor пыталось установить SSH-бэкдор на компьютеры разработчиков

Что произошло

Cursor — редактор кода с ИИ-помощником на основе Visual Studio Code со своим маркетплейсом дополнений, которые называются расширениями. В уведомлении о безопасности Cursor пишет, что 29 октября примерно с 2:27 до 13:35 по тихоокеанскому времени там была доступна вредоносно изменённая версия расширения Claude Code от Anthropic — версии 2.1.312 и 2.1.313 для Windows и macOS. Cursor удалил её, затем полностью закрыл маркетплейс, проверил доступы, сменил свои ключи и снова запустил его. По словам компании, другие расширения изменены не были.

WIRED пишет, что, по словам Cursor, вредоносное расширение скачали «не более 5000 пользователей», а Ars Technica, написавший об инциденте 30 октября, приводит ту же цифру для версии 2.1.313; в самом уведомлении Cursor о безопасности числа нет. Сооснователь компании по кибербезопасности Phorion Люк Робертс сказал Ars, что вредоносная версия была опубликована в официальном аккаунте Anthropic в маркетплейсе Cursor. Ни одна из компаний не объяснила, как злоумышленник получил этот доступ. Ars также приводит слова Робертса о том, что расширения в Cursor по умолчанию обновляются автоматически — так новая вредоносная версия может попасть на компьютеры без того, чтобы кто-то решил её установить.

Что делал вредоносный код

По данным Cursor, код собирал сведения о компьютере и пользователе, включая имя компьютера, имя пользователя, адрес почты в Git, публичный IP-адрес и имена переменных окружения. Затем он пытался добавить SSH-ключ злоумышленника, который позволил бы удалённо входить в компьютер. Он также пытался включить локальную службу SSH, открыть обратный туннель к серверу злоумышленника и настроить свой перезапуск после перезагрузки. Анализ Phorion добавляет, что код собирал только имена переменных, а не их значения, — это даёт злоумышленнику список компьютеров, на которых хранятся облачные ключи или API-токены, достойные следующей атаки.

Ущерб ограничили ошибки в коде. Cursor пишет, что для включения SSH нужны права администратора, которых у расширения нет на большинстве компьютеров Mac и Windows, поэтому на таких машинах злоумышленник не мог войти через туннель. Cursor также вместе с хостинг-провайдером отключил сервер злоумышленника. Ключ, скрипты автозапуска и отчёт злоумышленнику при этом всё равно срабатывали, и Cursor предупреждает, что удаления расширения «может быть недостаточно», потому что отдельные скрипты продолжают работать.

Позиция Anthropic

В уведомлении Cursor сказано, что вредоносные версии «разработаны не Anthropic». WIRED приводит пост Феликса Ризеберга из технического штата Anthropic в X: «это не был взлом систем Anthropic или ноутбуков сотрудников. Злоумышленник использовал доступ к маркетплейсу Cursor, чтобы опубликовать подменённую копию расширения Claude Code». Команда Microsoft по анализу угроз сообщает, что Anthropic подтвердила ей, что её системы не были взломаны, а вредоносные пакеты никогда не публиковались в Visual Studio Marketplace от Microsoft и в npm. По словам Microsoft, все имеющиеся данные указывают на то, что инцидент ограничен маркетплейсом Cursor.

Кому нужно действовать

Всем, кто устанавливал или обновлял расширение Claude Code в Cursor на Windows или macOS в этот промежуток 29 октября, стоит следовать уведомлению Cursor: там есть проверка на наличие ключа злоумышленника и скрипты очистки. Рекомендации Cursor также включают изоляцию затронутых компьютеров и смену паролей, ключей и сессий, к которым эти компьютеры имели доступ, — с другого, доверенного компьютера. Cursor называет затронутые сборки для Windows и macOS, но в индикаторах Cursor и в анализе Phorion описаны и шаги для Linux, поэтому пользователям расширения в Cursor на Linux тоже стоит свериться с тем же уведомлением. Claude Code, установленный из официальных каналов Anthropic или из маркетплейса Microsoft, не затронут, по словам Anthropic и Microsoft.

Что это значит для бизнеса, который использует ИИ-инструменты для программирования

По оценке Evoogen, ИИ-помощники для программирования обычно устанавливаются как расширения, которые работают с теми же правами, что и редактор, — то есть с доступом к файлам разработчика, исходному коду и сохранённым учётным данным. Маркетплейс расширений — часть вашей цепочки поставок, а автоматические обновления означают, что вы доверяете тому, кто в данный момент контролирует аккаунт издателя, а не просто его имени.

Небольшой команде или компании, которая нанимает фрилансеров-разработчиков, стоит уже сейчас ответить на три вопроса: какие ИИ-расширения установлены на компьютерах, где хранятся данные клиентов или облачные ключи, и из какого маркетплейса; устанавливаются ли обновления на этих компьютерах автоматически; лежат ли облачные ключи в обычных переменных окружения на ноутбуках, а не в менеджере паролей или хранилище секретов. Для ответа не нужно нового софта, а ответы показывают, куда может дотянуться одно плохое обновление.