Шкідливе розширення Claude Code доставляло SSH-бекдор у Cursor

Атака на ланцюг постачання скомпрометувала розширення Claude Code від Anthropic у маркетплейсі розширень Cursor для VS Code і доставляла троян віддаленого доступу через зворотний SSH-бекдор. Cursor каже, що постраждало приблизно 5 000 систем розробників, а Anthropic замінила версію 2.1.313 на 2.1.314.

Що сталося

Розширення автоматично оновилося в Cursor до шкідливої версії. Phorion вперше помітив шкідливу активність на кінцевих точках. Anthropic не повідомила клієнтів, а шкідливу версію тихо видалили без попередження.

Шкідлива поведінка

Cursor визнав проблему: розширення запускає шкідливий код, що намагається встановити постійний SSH-бекдор. Воно збирає дані хоста і користувача: ім'я хоста, ім'я користувача, ОС, архітектуру, шлях домашньої директорії, назви змінних середовища, робочі директорії, налаштовану електронну пошту Git і публічну IP-адресу. Воно намагається додати контрольований зловмисником SSH-ключ до authorized_keys, увімкнути локальну службу SSH і відкрити зворотний SSH-тунель. За межами вкрай незвичайних випадків запуску Cursor з правами адміністратора помилки в шкідливому коді означають, що цей крок не вдасться. Воно також намагається зробити зворотний SSH-тунель постійним через LaunchAgent на macOS або заплановане завдання, що намагається запуститися як SYSTEM, з резервним скриптом Startup на Windows, а фонові скрипти повторюють спробу тунелю приблизно кожні 60 секунд. Дані хоста і статус бекдора надсилаються через HTTP POST до /beacon на порту 8099.

Версія і виявлення

Скомпрометована версія була 2.1.313. Anthropic замінила її 30 жовтня 2026 року на 2.1.314, яка, схоже, видаляє бекдор з розширення, але неясно, чи містить ще шкідливий код. Оновлення не видаляє SSH-бекдор із уже заражених систем і не усуває попередню розвідувальну активність. Версія 2.1.313 відсутня в OpenVSX, Visual Studio Marketplace і Cursor. Kevin Beaumont опублікував KQL-запити для пошуку шкідливої версії через Microsoft Defender for Endpoint.

Індикатори і контекст

Мережеві індикатори: зворотний SSH-тунель до 134.209.82.225 на порту 22 і кінцева точка командування та контролю http://134.209.82.225:8099/beacon через HTTP POST. Спроба локального маячка спрямована на 127.0.0.1:8099/beacon. Звернення до ifconfig.me і api.ipify.org є легітимними сервісами, і сам по собі доступ не є індикатором. Хеші файлів: VSIX SHA 256 432ccdee3801f99e52b8fe31f69ea9870118e96ea7ef9ecabed1479621b5ab62 для darwin arm64 Mac і 3de1722901165769893bef57c72594e9a54459faa23f3091b136b79966edd081 для win32 x64. У блозі Cursor є формулювання, що шкідливу версію не розробляла Anthropic, хоча її завантажили під підтвердженим акаунтом Anthropic. Серед помітних клієнтів, які використовують Claude Code і Cursor на ноутбуках, є Binance серед тисяч інших. Ситуація розвивається, оновлення публікують у Mastodon.

Джерела: Doublepulsar · Phorion