Claude Code per Cursor: estensione 2.1.313 con backdoor SSH

Il 29 ottobre 2026, per circa 11 ore, il marketplace delle estensioni VS Code di Cursor ha distribuito una versione manomessa dell’estensione Claude Code di Anthropic, la 2.1.313. Secondo l’avviso di Cursor, riportato da BleepingComputer, la finestra va dalle 2:27 alle 13:35 ora del Pacifico (circa dalle 10:27 alle 21:35 ora italiana) e gli utenti coinvolti sono al massimo 5.000, che l’azienda contatterà direttamente. Il codice malevolo prova a installare una backdoor SSH persistente e manda all’attaccante una ricognizione della macchina.

Cursor precisa che la versione malevola non è stata sviluppata da Anthropic e che non ha prove che siano state colpite altre versioni dell’estensione o la distribuzione ufficiale. Come l’attaccante sia riuscito a pubblicare il pacchetto a nome di Anthropic non è stato spiegato.

Dove è stata distribuita

Le fonti all’inizio divergevano. Help Net Security ha scritto che la società di sicurezza Phorion aveva trovato il pacchetto su Open VSX, il marketplace della Eclipse Foundation usato dagli editor derivati da VS Code; in un aggiornamento riporta però che Ax Sharma di Manifold Security contesta che la versione su Open VSX fosse compromessa. Secondo BleepingComputer le prime segnalazioni citavano anche npm, Open VSX e il Visual Studio Marketplace di Microsoft, ma è stato poi confermato che l’unica fonte era il marketplace di Cursor.

Dettagli tecnici

L’analisi è di Phorion e OpenSourceMalware. In testa al file extension.js, il pacchetto minificato dell’estensione, è stata aggiunta una funzione eseguita subito (IIFE); il resto del codice è quello legittimo. Il frammento carica i moduli Node.js child_process, fs, os, path, http e crypto e parte appena l’editor carica il file, prima della normale funzione activate: non serve usare Claude Code.

Una volta avviato:

• aggiunge una chiave SSH dell’attaccante al file authorized_keys dell’utente, con l’etichetta svc-telemetry, e prova ad attivare il servizio SSH;
• apre una connessione SSH in uscita verso il server dell’attaccante, creando un tunnel inverso da cui l’operatore può tornare sulla macchina; il tunnel resta attivo anche a editor chiuso e si riprova circa ogni 60 secondi;
• si rende persistente: su macOS con un LaunchAgent dal nome simile a quelli di Apple, su Linux con una voce di cron eseguita all’avvio, su Windows con un’attività pianificata chiamata SysMon o, se non riesce, con un file nella cartella Esecuzione automatica;
• invia al server 134.209.82[.]225 nome host, utente, sistema operativo, cartella home e di lavoro, email di Git, IP pubblico e stato della backdoor, più i nomi (non i valori) di al massimo 40 variabili d’ambiente che sembrano chiavi, token, password o credenziali AWS e GCP.

Lo script non ruba direttamente le credenziali: secondo BleepingComputer l’intenzione sembra quella di recuperarle a mano dopo l’accesso via tunnel, e secondo Phorion l’elenco delle variabili dice all’operatore quali macchine colpire per prime.

Errori che limitano il danno. Su macOS il malware chiede lo stato di Accesso remoto con systemsetup -getremotelogin senza privilegi di amministratore, riceve un errore invece di «Off» e salta l’attivazione di SSH. Su Windows prova a installare il server OpenSSH con PowerShell passando da /bin/sh, che sui sistemi standard non esiste. Secondo Cursor, attivare SSH richiede diritti di amministratore che l’estensione non ha sulla maggior parte dei Mac e dei PC Windows. Le fonti non descrivono errori per Linux. Dove il servizio SSH era già attivo, o viene attivato in seguito, la backdoor funziona: Phorion avverte che il bug non è una difesa.

Risposta di Cursor. Ha tolto la versione, spento per precauzione il marketplace, controllato gli accessi senza trovare altre estensioni manomesse, ruotato le chiavi e ricostruito il servizio prima di riaprirlo. Con il fornitore cloud ha messo offline il server dell’attaccante, interrompendo tunnel e invio dei dati.

Nella nostra lettura le tecniche MITRE ATT&CK pertinenti sono T1195.002 (Compromise Software Supply Chain), T1098.004 (SSH Authorized Keys), T1572 (Protocol Tunneling), T1543.001 (Launch Agent), T1053.003 (Cron), T1053.005 (Scheduled Task) e T1082 (System Information Discovery).

Impatto per le aziende europee e italiane

Le postazioni degli sviluppatori hanno accesso a repository, pipeline e ambienti cloud: un accesso SSH interattivo su una di queste è un punto d’ingresso privilegiato. Come osserva Ax Sharma di Manifold Security, verificare l’editore non basta quando il pacchetto compare con il nome legittimo, e sempre più spesso sono agenti e aggiornamenti automatici, non persone, a installare le estensioni: serve osservare il comportamento, perché un’estensione per il codice che scrive chiavi SSH dovrebbe essere notata in pochi secondi.

Per i soggetti NIS2 la sicurezza della catena di fornitura è una misura obbligatoria: un’installazione della 2.1.313 su postazioni con accesso a sistemi rilevanti va valutata come possibile incidente, in base a quello che l’operatore poteva raggiungere. Nome utente, email di Git e IP inviati all’attaccante sono dati personali dei dipendenti: va valutato anche l’obbligo di notifica previsto dal GDPR.

Cosa fare subito

1. Individua chi usa Cursor con l’estensione Claude Code e chi ha installato o aggiornato la 2.1.313 il 29 ottobre: togliere l’estensione non rimuove la backdoor, perché gli script restano attivi.
2. Controlla authorized_keys alla ricerca della chiave svc-telemetry, e la persistenza: LaunchAgent nuovi con nomi in stile Apple, voci di cron all’avvio, attività pianificata SysMon, file nella cartella Esecuzione automatica. Cursor ha pubblicato i comandi di verifica e gli script di pulizia per macOS e Windows; Cursor e Phorion hanno diffuso gli indicatori di compromissione.
3. Cerca nei log di rete connessioni verso 134.209.82[.]225 e SSH in uscita dalle postazioni; nei log SSH, come suggerisce Phorion, accessi da localhost con la chiave svc-telemetry, il segno che un operatore è entrato.
4. Se trovi tracce, isola la macchina, valuta la ricostruzione e ruota da un sistema fidato credenziali e sessioni raggiungibili, a partire da quelle delle variabili d’ambiente elencate.
5. Rafforza: SSH spento sulle postazioni che non ne hanno bisogno, SSH in uscita consentito solo verso destinazioni note, aggiornamenti delle estensioni controllati negli ambienti di sviluppo.

Come aiuta ARXDOME

ARX Sentry raccoglie con il suo agent l’inventario di software e processi di computer e server Windows, Linux e macOS e controlla l’integrità dei file nelle cartelle stabilite, come .ssh e quelle dei LaunchAgent: aiuta a trovare le macchine coinvolte e a notare chiavi e file di avvio nuovi. Gli eventi vengono raggruppati in famiglie come persistenza ed esecuzioni sospette. Se una postazione è compromessa, ARX Shield permette di isolarla dalla rete in attesa della ricostruzione.

Ultimo aggiornamento: 30 ottobre 2026