Une porte dérobée dans l'extension Claude pour Cursor a menacé jusqu'à 5000 développeurs pendant près de 12 heures

L'extension d'Anthropic pour VS Code, distribuée via le marketplace de l'éditeur Cursor, a contenu une porte dérobée pendant près de 12 heures. Selon Cursor lui-même, la version malveillante 2.1.313 a touché au plus 5000 utilisateurs. Elle a été publiée depuis le compte officiel vérifié d'Anthropic, et ni Cursor ni Anthropic n'ont pour l'instant expliqué comment les attaquants y ont eu accès. Anthropic n'a en outre publié aucun avertissement public à destination de ses clients.

Comment la version 2.1.313 est arrivée sur les machines des développeurs

Selon le chercheur indépendant Kevin Beaumont, Anthropic a publié une version saine, la 2.1.314, quelques heures après l'apparition de la version malveillante. Luke Roberts, directeur technique et cofondateur de la société de sécurité Phorian, parle d'une compromission de la chaîne d'approvisionnement : l'attaquant a obtenu l'accès au canal officiel de distribution, et la 2.1.313 a remplacé la 2.1.312. Dans Cursor, les extensions se mettent à jour automatiquement par défaut, même si cette option peut être désactivée dans les paramètres. Beaucoup d'utilisateurs ont donc pu recevoir le code sans un seul clic.

Il faut considérer comme infectés tous ceux qui ont installé ou mis à jour l'extension d'Anthropic dans Cursor jeudi, entre 5:27 et 16:35, heure de l'Est des États-Unis. La prudence s'impose aussi pour ceux qui l'ont fait peu avant cette fenêtre. Les extensions de Cursor s'exécutent avec les droits de l'IDE lui-même : une fois installé, le code malveillant a pu accéder aux fichiers locaux, aux sources et aux outils du développeur.

Ce que faisait la porte dérobée et où elle échouait

D'après la description de Cursor, le code fonctionne sous Windows, macOS et Linux et effectue plusieurs opérations :

• il collecte le nom d'hôte et d'utilisateur, l'OS, l'architecture, le répertoire personnel, les noms des variables d'environnement, les répertoires de travail, l'adresse e-mail configurée dans Git et l'IP publique ;
• il tente d'ajouter la clé SSH de l'attaquant à authorized_keys, d'activer le service SSH local et d'ouvrir un tunnel SSH inversé ;
• il rend le tunnel persistant via un LaunchAgent sur macOS, ou via une tâche planifiée avec les droits SYSTEM et un script de démarrage de secours sous Windows ; les scripts en arrière-plan relancent la tentative environ toutes les 60 secondes ;
• il envoie les données sur l'hôte et l'état de la porte dérobée par une requête HTTP POST vers /beacon, port 8099.

Selon Phorian, la collecte des noms de variables d'environnement sert à inventorier rapidement les clés cloud et les jetons d'API présents sur la machine. L'opérateur s'en servait probablement pour choisir les appareils à attaquer ensuite. Les valeurs de ces variables ne sont pas mentionnées dans la description.

Le code comportait toutefois des erreurs. Selon Cursor, l'étape de la clé SSH et du tunnel échouait partout, sauf dans les rares cas où l'éditeur était lancé avec les droits d'administrateur. Des bugs dans les versions pour Windows et macOS empêchaient, dans certains cas, la porte dérobée de fonctionner dans son ensemble. Phorian considère malgré tout ce malware comme une menace sérieuse : il s'ancre dans le système et transmet à l'opérateur des informations de reconnaissance sur l'hôte.

La réaction de Cursor et que faire pour les utilisateurs

Cursor a contacté le fournisseur cloud dont le serveur hébergeait le récepteur du reverse shell, et les appareils infectés ne pourront plus l'atteindre. La version malveillante a été retirée du marketplace et sa diffusion ultérieure a été bloquée. Le marketplace VSCode a été fermé un temps : l'entreprise y a changé des clés, vérifié le contrôle d'accès et s'est assurée que les autres extensions n'étaient pas compromises. Il est de nouveau ouvert.

Deux questions restent sans réponse : comment exactement le compte d'Anthropic a été piraté, et pourquoi l'entreprise n'avertit pas ses clients. Sollicités par Ars Technica, ni Anthropic ni Cursor n'ont répondu.

Conseil pratique pour ceux qui se trouvent dans la fenêtre : comparez votre machine avec les indicateurs de compromission (adresses IP et hachages cryptographiques) publiés par Cursor et Phorian. Vérifiez authorized_keys, les LaunchAgents et les tâches planifiées pour y repérer d'éventuelles traces d'une clé SSH étrangère et d'un tunnel. En cas de doute, régénérez les clés cloud et les jetons d'API qui se trouvaient sur la machine.

D'après la description des mécanismes de persistance, la simple mise à jour vers la 2.1.314 ne supprime pas d'elle-même les entrées malveillantes du système.

Il s'agit d'une déduction tirée de la description de ces mécanismes, et non d'un fait confirmé par les éditeurs. Il est par ailleurs conseillé de désactiver la mise à jour automatique des extensions dans les environnements de travail qui stockent des secrets de valeur.