В Cursor Marketplace нашли поддельный Claude Code с SSH-бэкдором: под ударом до 5000 человек

Cursor опубликовал уведомление о безопасности: в его маркетплейсе расширений для VS Code была доступна вредоносная версия Anthropic.claude-code 2.1.313. Компания подчёркивает, что это не сборка Anthropic: кто-то подменил пакет и пытался через него поставить на машины разработчиков постоянный SSH-бэкдор. По оценке Cursor, затронуты не более 5000 пользователей, с ними компания обещает связаться напрямую.

Вредоносный пакет висел в маркетплейсе примерно с 2:27 до 13:35 по тихоокеанскому времени. Cursor убрал его сразу после обнаружения и заблокировал дальнейшую раздачу. Затем компания на всякий случай полностью остановила маркетплейс, проверила доступы и убедилась, что другие расширения не тронуты. После этого она сменила ключи, пересобрала маркетплейс и запустила его снова. Отдельно Cursor вместе с облачным провайдером отключил сервер атакующего, так что обратный туннель и отправка данных о хосте больше не работают.

Небольшое замечание о датах: пост датирован 13 августа 2026 года, а в инструкции для пользователей окно установки привязано к 29 октября 2026 года. Какая из дат верна, из текста не следует, поэтому ориентируйтесь на временной интервал и на проверку по ключу, описанную ниже.

Что делал вредоносный код

Расширение собирало данные о хосте: имя машины и пользователя, ОС, архитектуру, домашний каталог, названия переменных окружения, рабочие каталоги, email из настроек Git и публичный IP. Затем оно пыталось добавить SSH-ключ атакующего с комментарием svc-telemetry в authorized_keys, включить локальную SSH-службу и открыть обратный SSH-туннель.

Для постоянства код использовал LaunchAgent на macOS (com.apple.sysmond) и запланированную задачу SysMon на Windows с запасным вариантом через папку автозагрузки. Фоновые скрипты повторяли попытку подключить туннель примерно раз в 60 секунд. О состоянии бэкдора и параметрах хоста код сообщал HTTP POST-запросом на /beacon, порт 8099.

Из-за ошибок в самом коде шаг с туннелем, по словам Cursor, почти везде не сработал бы. Включение SSH-службы требует прав администратора, а у расширения их нет на большинстве хостов macOS и Windows. Исключение составляют редкие случаи, когда Cursor запускали с повышенными привилегиями. Но остальные шаги проходили и без них: ключ добавлялся, автозапуск ставился, данные о хосте уходили. Поэтому Cursor просит выполнить рекомендации всем, кто ставил этот пакет.

Как проверить машину и что делать

Проверка простая: нужно найти строку svc-telemetry в ~/.ssh/authorized_keys. На Windows файлов два: тот же путь в профиле пользователя и C:\ProgramData\ssh\administrators_authorized_keys. Если ключ найден, машина затронута.

Дальше Cursor советует изолировать хост, где видны следы выполнения payload, и прогнать скрипт очистки. Для macOS это remediate-macos.sh, который запускают от имени обычного пользователя, а не root. Для Windows это remediate-windows.ps1 в PowerShell с правами администратора. Скрипты удаляют расширение, механизмы автозапуска, процессы туннеля и ключ атакующего и завершаются с ненулевым кодом, если что-то осталось. Затем стоит решить, не проще ли пересобрать машину.

Одного удаления расширения недостаточно: payload оставляет отдельные скрипты автозапуска, которые продолжают работать. Учётные данные и сессии, доступные с затронутой машины, нужно менять с доверенной системы. Сбор имён переменных окружения не раскрывает сами значения, но Cursor прямо предупреждает: это не исключает доступа к секретам позже, через бэкдор.

Для команд безопасности в уведомлении есть индикаторы компрометации: хэши SHA-256 для darwin-arm64 и win32-x64, IP-адрес сервера, отпечатки ключей и команды вроде ssh -N -R и schtasks /create /tn SysMon. Сами обращения к ifconfig.me и api.ipify.org индикатором не считаются: это легитимные сервисы.

Случай показывает слабое место AI-редакторов: расширения маркетплейса исполняются с правами пользователя, а на машине разработчика лежат SSH-ключи, токены и доступ к репозиториям. Подмена пакета под именем известного вендора рассчитана именно на это. Cursor не объяснил, как злоумышленник загрузил пакет в маркетплейс, и свидетельств, что затронуты другие версии, у компании нет.