Бэкдор в расширении Claude для Cursor почти 12 часов угрожал до 5000 разработчиков

Официальное расширение Anthropic для VS Code, которое распространялось через маркетплейс редактора Cursor, почти 12 часов содержало бэкдор. Вредоносная версия 2.1.313, по данным самого Cursor, затронула не более 5000 пользователей. Её опубликовали с официального верифицированного аккаунта Anthropic, и пока ни Cursor, ни Anthropic не объяснили, как атакующие получили к нему доступ. Anthropic к тому же не выпустила публичного предупреждения для клиентов.

Как версия 2.1.313 попала на машины разработчиков

По словам независимого исследователя Кевина Бомона (Kevin Beaumont), Anthropic выпустила чистую версию 2.1.314 через несколько часов после появления вредоносной. Технический директор и сооснователь охранной фирмы Phorian Люк Робертс (Luke Roberts) назвал инцидент компрометацией цепочки поставок: злоумышленник получил доступ к официальному каналу дистрибуции, и 2.1.313 заменила 2.1.312. В Cursor расширения по умолчанию обновляются автоматически, хотя в настройках это можно отключить. Поэтому многим пользователям код мог прийти без единого клика.

Заражёнными стоит считать всех, кто установил или обновил расширение Anthropic в Cursor в четверг с 5:27 до 16:35 по восточному времени США. Осторожнее стоит быть и тем, кто делал это незадолго до указанного окна. Расширения Cursor работают с правами самой IDE, так что после установки вредоносный код мог получить доступ к локальным файлам, исходникам и инструментам разработчика.

Что умел бэкдор и где он ломался

По описанию Cursor, код работает на Windows, macOS и Linux и делает несколько вещей:

• собирает имя хоста и пользователя, ОС, архитектуру, домашний каталог, имена переменных окружения, рабочие директории, настроенный email в Git и публичный IP;
• пытается добавить SSH-ключ атакующего в authorized_keys, включить локальный SSH-сервис и открыть обратный SSH-туннель;
• закрепляет туннель через LaunchAgent на macOS или через задачу планировщика с правами SYSTEM и запасным стартап-скриптом на Windows; фоновые скрипты повторяют попытку примерно раз в 60 секунд;
• отправляет данные о хосте и состоянии бэкдора HTTP POST-запросом на /beacon, порт 8099.

Сбор имён переменных окружения, по оценке Phorian, нужен для быстрой инвентаризации облачных ключей и API-токенов на машине. Вероятно, так оператор выбирал, какие устройства атаковать дальше. Сами значения переменных в описании не упоминаются.

Код при этом был написан с ошибками. Шаг с SSH-ключом и туннелем, как сообщает Cursor, проваливался везде, кроме редких случаев, когда редактор запущен с правами администратора. Баги в версиях для Windows и macOS в ряде случаев мешали бэкдору работать целиком. Phorian всё равно считает вредонос серьёзной угрозой: он закрепляется в системе и отправляет оператору разведданные о хосте.

Реакция Cursor и что делать пользователям

Cursor связался с облачным провайдером, на сервере которого держался приёмник обратного шелла, и заражённые устройства больше не достучатся до него. Вредоносную версию убрали из маркетплейса и заблокировали её дальнейшую раздачу. На время маркетплейс VSCode закрыли: компания меняла ключи, проверяла контроль доступа и убеждалась, что другие расширения не скомпрометированы. Сейчас он снова открыт.

Остаются без ответа два вопроса: как именно взломали аккаунт Anthropic и почему компания не предупреждает клиентов. На запросы Ars Technica ни она, ни Cursor не ответили.

Практический вывод для тех, кто попал в окно: сверьтесь с индикаторами компрометации (IP-адреса и криптографические хеши) в публикациях Cursor и Phorian. Проверьте authorized_keys, LaunchAgent и задачи планировщика на следы чужого SSH-ключа и туннеля. Если сомневаетесь, перевыпустите облачные ключи и API-токены, которые лежали на машине. Простое обновление до 2.1.314 вредоносные записи в системе, судя по описанию механизмов закрепления, само не убирает. Это вывод по описанию механизмов, а не подтверждённый вендорами факт. Отдельно стоит отключить автообновление расширений в рабочих окружениях, где хранятся ценные секреты.