Cursor odhaluje pokus o instalaci zadních vrátek přes SSH ve škodlivém rozšíření Claude Code

Cursor 29. října 2026 oznámil bezpečnostní incident týkající se škodlivě upravené verze rozšíření Anthropic.claude-code v Marketplace s rozšířeními pro VS Code. Společnost uvedla, že balíček nevyvinula společnost Anthropic a že spouštěl kód, který se pokoušel nainstalovat trvalá zadní vrátka SSH. Incident se mohl týkat nejvýše 5 000 uživatelů.

V bezpečnostním oznámení společnost uvedla, že bude přímo kontaktovat dotčené uživatele. Škodlivý balíček, verze 2.1.313 rozšíření Claude Code od společnosti Anthropic, byl na tržišti k dispozici přibližně od 2:27 PT do 13:35 PT dne 29. října 2026.

Jak se škodlivá verze chová

Cursor uvedl, že upravené rozšíření shromažďuje informace o počítači a uživateli: název počítače, uživatelské jméno, operační systém, architekturu, cestu k domovskému adresáři, názvy proměnných prostředí, pracovní adresáře, nakonfigurovanou e-mailovou adresu Git a veřejnou IP adresu počítače.

Rozšíření se pokouší přidat SSH klíč ovládaný útočníkem do uživatelova authorized_keys souboru, povolit místní službu SSH a otevřít reverzní tunel SSH. Cursor uvedl, že tento krok by selhal s výjimkou mimořádně neobvyklých případů, kdy by byl Cursor spuštěn s oprávněními správce, a to kvůli chybám ve škodlivém kódu. Společnost dodala, že povolení místní služby SSH vyžaduje oprávnění správce, která rozšíření na většině počítačů s macOS a Windows nemá. Útočník se proto na těchto počítačích nemohl přihlásit prostřednictvím tunelu. Rozšíření však i tak přidá SSH klíč útočníka, zajistí trvalé spuštění a odešle útočníkovi podrobnosti o počítači.

Cursor uvedl, že kvůli zajištění trvalého spuštění nainstaluje škodlivý kód v macOS agenta LaunchAgent nebo ve Windows naplánovanou úlohu, která se pokouší spustit jako SYSTEM, a jako záložní možnost použije skript při spuštění. Skripty běžící na pozadí se přitom zhruba každých 60 sekund pokoušejí tunel znovu navázat. Rozšíření odesílá podrobnosti o počítači a stav zadních vrátek prostřednictvím požadavků HTTP POST na /beacon koncový bod na portu 8099.

Reakce společnosti Cursor

Cursor uvedl, že škodlivou verzi ihned po odhalení odstranil z tržiště a zablokoval její další šíření. Z preventivních důvodů poté uzavřel celé tržiště. Společnost prověřila přístupy a potvrdila, že žádná další rozšíření nebyla pozměněna, vyměnila své klíče, tržiště znovu sestavila a opět spustila.

Cursor také uvedl, že ve spolupráci s poskytovatelem cloudových služeb, který hostoval server útočníka, zajistil jeho odstavení. Server útočníka již nefunguje, takže reverzní shell ani požadavky POST odesílající podrobnosti o počítači nejsou funkční. Společnost uvedla, že její zjištění se týkají identifikovaného balíčku a že nemá důkazy o tom, že by byly zasaženy jiné verze rozšíření nebo jeho oficiální distribuce.

Kroky k nápravě a indikátory

Cursor doporučil všem, kdo si během období vystavení hrozbě nainstalovali nebo aktualizovali verzi Anthropic.claude-code 2.1.313 z jeho tržiště, aby spustili kontrolu dopadu, prověřili telemetrii koncových zařízení, sítě a instalací rozšíření a vyhledali v ní zveřejněné indikátory, izolovali počítače se známkami spuštění škodlivého kódu nebo instalace zadních vrátek a pomocí skriptů k nápravě odstranili neoprávněný SSH klíč, mechanismy zajišťující trvalé spuštění a běžící procesy tunelu. Zároveň mají posoudit, zda je třeba počítač znovu sestavit. Dotčení uživatelé by měli z důvěryhodného systému změnit přihlašovací údaje a obnovit relace, k nimž lze přistupovat z napadených počítačů.

Společnost varovala, že odinstalace rozšíření nemusí stačit, protože škodlivý kód ukládá samostatné skripty zajišťující trvalé spuštění, které zůstávají aktivní. Dodala také, že omezený rozsah shromažďovaných proměnných prostředí nevylučuje, že by později mohlo dojít k přístupu k přihlašovacím údajům prostřednictvím zadních vrátek.

Kontrola dopadu vyhledává veřejný klíč útočníka označený svc-telemetry, připojený k souboru SSH authorized_keys soubor: příkaz grep v macOS a kontrola v PowerShellu ve Windows, která zahrnuje soubor uživatele authorized_keys soubor i administrators_authorized_keys soubor v C:\ProgramData\ssh. Počítač je považován za zasažený, pokud se klíč najde. V takovém případě Cursor uživatele odkáže na skript pro nápravu určený pro danou platformu.

Skript pro macOS, remediate-macos.sh, je nutné spustit jako dotčený uživatel, nikoli jako root. Skript pro Windows, remediate-windows.ps1, je nutné spustit v relaci PowerShellu otevřené s oprávněními správce. Oba skripty odstraní škodlivé rozšíření, mechanismy zajišťující trvalé spuštění, běžící procesy tunelu i SSH klíč útočníka a skončí s nenulovým stavovým kódem, pokud něco z toho zůstane.

Mezi zveřejněné indikátory napadení patří kontrolní součty SHA-256 upravených balíčků VSIX pro darwin-arm64 a win32-x64 a upravený soubor extension.js ve složce rozšíření 2.1.313 pro macOS nebo Windows, který obsahuje řetězce 134.209.82.225 a svc-telemetry. Síťové indikátory zahrnují útočný koncový bod 134.209.82.225, cíl reverzního připojení SSH tunnel@134.209.82.225 na portu TCP 22, externí beacon na stejné adrese na portu 8099 a pokus o beacon na loopbackové adrese 127.0.0.1:8099. Cursor také uvedl neoprávněně použitý veřejný klíč ssh-ed25519 s otiskem SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, otisk klíče pro reverzní tunel a cesty k souborům zajišťujícím perzistenci v macOS a Windows — včetně LaunchAgenta označeného com.apple.sysmond, naplánované úlohy s názvem SysMon, záložního skriptu ve složce Po spuštění s názvem sysmon.cmd — a indikátory příkazového řádku, včetně ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, a Add-WindowsCapability příkazu instalujícího funkci serveru OpenSSH.

Cursor uvedl, že dotazy na veřejnou IP adresu v rámci datové části směřují na ifconfig.me a api.ipify.org, což jsou legitimní služby, a že samotný přístup k nim není indikátorem. Společnost odkázala s dotazy na security@cursor.com.