Claude Code pentru Cursor: extensia 2.1.313 cu backdoor SSH

Pe 29 octombrie 2026, timp de aproximativ 11 ore, marketplace-ul de extensii VS Code al Cursor a distribuit o versiune modificată a extensiei Claude Code de la Anthropic, versiunea 2.1.313. Potrivit avizului Cursor, preluat de BleepingComputer, intervalul a fost între 2:27 și 13:35 ora Pacificului (aproximativ între 11:27 și 22:35 ora României), iar utilizatorii afectați sunt cel mult 5.000; compania îi va contacta direct. Codul malițios încearcă să instaleze un backdoor SSH persistent și trimite atacatorului o recunoaștere a mașinii.

Cursor precizează că versiunea malițioasă nu a fost dezvoltată de Anthropic și că nu are dovezi că alte versiuni ale extensiei sau distribuția oficială ar fi fost afectate. Nu s-a explicat cum a reușit atacatorul să publice pachetul în numele Anthropic.

Unde a fost distribuită

La început sursele nu concordau. Help Net Security a scris că firma de securitate Phorion găsise pachetul pe Open VSX, marketplace-ul Eclipse Foundation folosit de editoarele derivate din VS Code; într-o actualizare, însă, arată că Ax Sharma de la Manifold Security contestă că versiunea de pe Open VSX ar fi fost compromisă. Potrivit BleepingComputer, primele relatări menționau și npm, Open VSX și Visual Studio Marketplace al Microsoft, dar ulterior s-a confirmat că singura sursă a fost marketplace-ul Cursor.

Detalii tehnice

Analiza aparține Phorion și OpenSourceMalware. La începutul fișierului extension.js, pachetul minificat al extensiei, a fost adăugată o funcție executată imediat (IIFE); restul codului este cel legitim. Fragmentul încarcă modulele Node.js child_process, fs, os, path, http și crypto și rulează imediat ce editorul încarcă fișierul, înainte de funcția normală activate: nu e nevoie să folosești Claude Code.

Odată pornit:

• adaugă o cheie SSH a atacatorului în fișierul authorized_keys al utilizatorului, cu eticheta svc-telemetry, și încearcă să activeze serviciul SSH;
• deschide o conexiune SSH de ieșire către serverul atacatorului, creând un tunel invers prin care operatorul poate reveni pe mașină; tunelul rămâne activ și cu editorul închis și se reîncearcă aproximativ la fiecare 60 de secunde;
• devine persistent: pe macOS cu un LaunchAgent cu nume în stil Apple, pe Linux cu o intrare cron executată la pornire, pe Windows cu o activitate programată numită SysMon sau, dacă nu reușește, cu un fișier în folderul Startup;
• trimite la serverul 134.209.82[.]225 numele mașinii, utilizatorul, sistemul de operare, folderele home și de lucru, adresa de email Git, IP-ul public și starea backdoor-ului, plus numele (nu valorile) a cel mult 40 de variabile de mediu care par chei, tokenuri, parole sau credențiale AWS și GCP.

Scriptul nu fură direct credențialele: potrivit BleepingComputer, intenția pare să fie recuperarea lor manuală după accesul prin tunel, iar potrivit Phorion lista variabilelor îi arată operatorului ce mașini să atace mai întâi.

Erori care limitează paguba. Pe macOS, malware-ul interoghează starea Remote Login cu systemsetup -getremotelogin fără drepturi de administrator, primește o eroare în loc de „Off” și sare peste activarea SSH. Pe Windows încearcă să instaleze serverul OpenSSH cu PowerShell prin /bin/sh, care nu există pe sistemele standard. Potrivit Cursor, activarea SSH necesită drepturi de administrator pe care extensia nu le are pe majoritatea Mac-urilor și PC-urilor cu Windows. Sursele nu descriu astfel de erori pentru Linux. Acolo unde serviciul SSH era deja activ sau este activat ulterior, backdoor-ul funcționează: Phorion avertizează că eroarea nu este o apărare.

Reacția Cursor. A retras versiunea, a oprit preventiv marketplace-ul, a verificat accesele fără să găsească alte extensii modificate, și-a rotit cheile și a reconstruit serviciul înainte de a-l redeschide. Împreună cu furnizorul cloud a scos din funcțiune serverul atacatorului, întrerupând tunelul și trimiterea datelor.

În lectura noastră, tehnicile MITRE ATT&CK relevante sunt T1195.002 (Compromise Software Supply Chain), T1098.004 (SSH Authorized Keys), T1572 (Protocol Tunneling), T1543.001 (Launch Agent), T1053.003 (Cron), T1053.005 (Scheduled Task) și T1082 (System Information Discovery).

Impactul pentru companiile europene și italiene

Stațiile de lucru ale dezvoltatorilor au acces la repository-uri, pipeline-uri și medii cloud: un acces SSH interactiv pe una dintre ele este un punct de intrare privilegiat. Așa cum observă Ax Sharma de la Manifold Security, verificarea editorului nu ajută când pachetul apare sub numele legitim, iar tot mai des agenții și actualizările automate, nu oamenii, instalează extensiile: trebuie urmărit comportamentul, pentru că o extensie de programare care scrie chei SSH ar trebui detectată în câteva secunde.

Pentru entitățile NIS2, securitatea lanțului de aprovizionare este o măsură obligatorie: o instalare a versiunii 2.1.313 pe stații cu acces la sisteme relevante trebuie evaluată ca posibil incident, în funcție de ce putea atinge operatorul. Numele de utilizator, adresa de email Git și IP-ul trimise atacatorului sunt date personale ale angajaților: trebuie evaluată și obligația de notificare prevăzută de GDPR.

Ce să faci acum

1. Identifică cine folosește Cursor cu extensia Claude Code și cine a instalat sau a actualizat la 2.1.313 pe 29 octombrie: dezinstalarea extensiei nu elimină backdoor-ul, pentru că scripturile rămân active.
2. Verifică authorized_keys după cheia svc-telemetry și persistența: LaunchAgent-uri noi cu nume în stil Apple, intrări cron la pornire, activitatea programată SysMon, fișiere în folderul Startup. Cursor a publicat comenzile de verificare și scripturi de curățare pentru macOS și Windows; Cursor și Phorion au distribuit indicatori de compromitere.
3. Caută în jurnale conexiuni de rețea către 134.209.82[.]225 și SSH de ieșire de pe stații; în jurnalele SSH, cum sugerează Phorion, autentificări de pe localhost cu cheia svc-telemetry, semnul că un operator a intrat.
4. Dacă găsești urme, izolează mașina, ia în calcul reconstruirea ei și, de pe un sistem de încredere, rotește credențialele și sesiunile la care avea acces, începând cu cele ale variabilelor de mediu trimise.
5. Întărește: SSH oprit pe stațiile care nu au nevoie de el, SSH de ieșire permis doar către destinații cunoscute, actualizări controlate ale extensiilor în mediile de dezvoltare.

Cum ajută ARXDOME

Prin agentul său, ARX Sentry colectează inventarul de software și procese al computerelor și serverelor Windows, Linux și macOS și verifică integritatea fișierelor în folderele stabilite, precum .ssh și cele ale LaunchAgent-urilor: te ajută să găsești mașinile afectate și să observi chei și fișiere de pornire noi. Evenimentele sunt grupate în familii precum persistența și execuțiile suspecte. Dacă o stație este compromisă, ARX Shield îți permite să o izolezi de rețea până la reconstruire.

Ultima actualizare: 30 octombrie 2026