Un faux Claude Code avec backdoor SSH découvert dans le Cursor Marketplace : jusqu'à 5000 personnes exposées

Cursor a publié un avis de sécurité : une version malveillante d'Anthropic.claude-code, la 2.1.313, était disponible sur son marketplace d'extensions pour VS Code. L'entreprise souligne qu'il ne s'agit pas d'un build d'Anthropic : quelqu'un a substitué le paquet pour tenter d'installer un backdoor SSH persistant sur les machines de développeurs. D'après l'estimation de Cursor, 5000 utilisateurs au maximum sont concernés, et l'entreprise promet de les contacter directement.

Le paquet malveillant est resté sur le marketplace d'environ 2:27 à 13:35, heure du Pacifique. Cursor l'a retiré dès sa détection et a bloqué toute nouvelle distribution. Par précaution, l'entreprise a ensuite arrêté complètement le marketplace, vérifié les accès et confirmé que les autres extensions n'avaient pas été touchées. Elle a alors changé les clés, reconstruit le marketplace et l'a relancé. Par ailleurs, Cursor a désactivé le serveur de l'attaquant avec un fournisseur cloud : le tunnel inverse et l'envoi des données sur l'hôte ne fonctionnent donc plus.

Une petite remarque sur les dates : l'article est daté du 13 août 2026, alors que, dans les instructions destinées aux utilisateurs, la fenêtre d'installation est rattachée au 29 octobre 2026. Le texte ne permet pas de savoir quelle date est la bonne ; fiez-vous donc à l'intervalle horaire et à la vérification par la clé, décrite plus bas.

Ce que faisait le code malveillant

L'extension collectait des données sur l'hôte : nom de la machine et de l'utilisateur, OS, architecture, répertoire personnel, noms des variables d'environnement, répertoires de travail, adresse e-mail issue des paramètres Git et IP publique. Elle tentait ensuite d'ajouter la clé SSH de l'attaquant, avec le commentaire svc-telemetry, dans authorized_keys, d'activer le service SSH local et d'ouvrir un tunnel SSH inverse.

Pour assurer sa persistance, le code utilisait un LaunchAgent sur macOS (com.apple.sysmond) et une tâche planifiée SysMon sur Windows, avec une solution de repli via le dossier de démarrage. Des scripts en arrière-plan retentaient la connexion du tunnel environ toutes les 60 secondes. Le code signalait l'état du backdoor et les paramètres de l'hôte par une requête HTTP POST vers /beacon, sur le port 8099.

Selon Cursor, à cause d'erreurs dans le code lui-même, l'étape du tunnel n'aurait presque nulle part fonctionné. L'activation du service SSH exige des droits d'administrateur, que l'extension n'a pas sur la plupart des hôtes macOS et Windows. L'exception : les rares cas où Cursor était lancé avec des privilèges élevés. Mais les autres étapes se déroulaient sans ces droits : la clé était ajoutée, le démarrage automatique installé, les données de l'hôte exfiltrées. Cursor demande donc à tous ceux qui ont installé ce paquet d'appliquer ses recommandations.

Comment vérifier sa machine et que faire

La vérification est simple : il faut chercher la chaîne svc-telemetry dans ~/.ssh/authorized_keys. Sous Windows, il y a deux fichiers : le même chemin dans le profil utilisateur et C:\ProgramData\ssh\administrators_authorized_keys. Si la clé est présente, la machine est touchée.

Cursor conseille ensuite d'isoler l'hôte où l'on voit des traces d'exécution du payload et de lancer un script de nettoyage. Sous macOS, il s'agit de remediate-macos.sh, à exécuter en tant qu'utilisateur normal, et non root. Sous Windows, c'est remediate-windows.ps1, dans PowerShell avec les droits d'administrateur. Les scripts suppriment l'extension, les mécanismes de démarrage automatique, les processus du tunnel et la clé de l'attaquant, et se terminent avec un code de sortie non nul si quelque chose subsiste. Il faut ensuite se demander s'il ne serait pas plus simple de reconstruire la machine.

Supprimer l'extension ne suffit pas : le payload laisse des scripts de démarrage automatique distincts, qui continuent de s'exécuter. Les identifiants et les sessions accessibles depuis la machine touchée doivent être changés depuis un système de confiance. La collecte des noms de variables d'environnement ne révèle pas les valeurs elles-mêmes, mais Cursor prévient explicitement : cela n'exclut pas un accès ultérieur aux secrets, via le backdoor.

Pour les équipes de sécurité, l'avis fournit des indicateurs de compromission : hachages SHA-256 pour darwin-arm64 et win32-x64, adresse IP du serveur, empreintes des clés et commandes comme ssh -N -R et schtasks /create /tn SysMon. Les appels à ifconfig.me et api.ipify.org ne constituent pas en eux-mêmes un indicateur : ce sont des services légitimes.

Ce cas illustre une faiblesse des éditeurs de code dotés d'IA : les extensions du marketplace s'exécutent avec les droits de l'utilisateur, et la machine d'un développeur contient des clés SSH, des tokens et des accès aux dépôts. La substitution d'un paquet sous le nom d'un éditeur connu vise précisément cela. Cursor n'a pas expliqué comment l'attaquant a pu téléverser le paquet sur le marketplace, et l'entreprise n'a aucune preuve que d'autres versions soient touchées.