Cursor afslører forsøg på at installere en SSH-bagdør via en ondsindet Claude Code-udvidelse

Den 29. oktober 2026 oplyste Cursor om en sikkerhedshændelse, der involverede en ondsindet ændret version af udvidelsen Anthropic.claude-code i markedspladsen for VS Code-udvidelser. Virksomheden sagde, at pakken ikke var udviklet af Anthropic, og at den kørte kode, som forsøgte at installere en vedvarende SSH-bagdør. Op til 5.000 brugere var berørt.

I en sikkerhedsmeddelelse sagde virksomheden, at den ville kontakte berørte brugere direkte. Den ondsindede pakke, version 2.1.313 af Claude Code-udvidelsen fra Anthropic, var tilgængelig på markedspladsen fra cirka kl. 2.27 PT til kl. 13.35 PT den 29. oktober 2026.

Sådan fungerer den ondsindede version

Cursor sagde, at den ændrede udvidelse indsamler oplysninger om værten og brugeren: værtsnavn, brugernavn, operativsystem, arkitektur, stien til hjemmemappen, navne på miljøvariabler, arbejdsmapper, den konfigurerede Git-e-mailadresse og maskinens offentlige IP-adresse.

Udvidelsen forsøger at føje en SSH-nøgle, som kontrolleres af angriberen, til brugerens authorized_keys fil, aktivere den lokale SSH-tjeneste og åbne en omvendt SSH-tunnel. Cursor sagde, at dette trin kun ville lykkes under yderst usædvanlige omstændigheder, hvor Cursor blev startet med administratorrettigheder, på grund af fejl i den ondsindede kode. Virksomheden tilføjede, at aktivering af den lokale SSH-tjeneste kræver administratorrettigheder, som udvidelsen ikke har på de fleste macOS- og Windows-værter. Derfor kunne angriberen ikke logge ind via tunnelen på disse maskiner. Alligevel føjer udvidelsen stadig angriberens SSH-nøgle til, installerer mekanismer til vedvarende adgang og sender oplysninger om værten til angriberen.

Cursor sagde, at nyttelasten installerer en LaunchAgent på macOS eller, på Windows, en planlagt opgave, der forsøger at køre som SYSTEM, med et startscript som reserve, hvis det ikke lykkes. Samtidig forsøger baggrundsscripts at oprette tunnelen igen cirka hvert 60. sekund. Udvidelsen sender oplysninger om værten og status for bagdøren via HTTP POST-anmodninger til et /beacon endepunkt på port 8099.

Cursors reaktion

Cursor sagde, at virksomheden straks fjernede den ondsindede version fra markedspladsen, da den blev opdaget, og forhindrede yderligere distribution. Derefter lukkede den hele markedspladsen som en sikkerhedsforanstaltning. Virksomheden sagde, at den havde gennemgået adgangen og bekræftet, at ingen andre udvidelser var blevet manipuleret med, roteret sine nøgler, genopbygget markedspladsen og genåbnet den.

Cursor sagde også, at virksomheden samarbejdede med cloududbyderen, der hostede angriberens server, om at lukke den ned, og at angriberens server ikke længere fungerer. Derfor fungerer hverken den omvendte shell eller POST-anmodningen med oplysninger om værten. Virksomheden sagde, at dens undersøgelsesresultater vedrører den identificerede pakke, og at den ikke har beviser for, at andre versioner af udvidelsen eller den officielle distribution er berørt.

Afhjælpning og indikatorer

Cursor anbefalede alle, der havde installeret eller opdateret til Anthropic.claude-code 2.1.313 fra virksomhedens markedsplads i eksponeringsperioden, at køre virksomhedens kontrol af påvirkning, søge efter de offentliggjorte indikatorer i telemetri for endepunkter, netværk og installation af udvidelser, isolere værter med tegn på, at nyttelasten er blevet kørt eller en bagdør er blevet installeret, og fjerne den uautoriserede SSH-nøgle, mekanismerne til vedvarende adgang og de kørende tunnelprocesser ved hjælp af virksomhedens afhjælpningsscripts, samtidig med at de vurderer, om værten bør genopbygges. Berørte brugere bør ændre adgangsoplysninger og afslutte sessioner, der kan tilgås fra de berørte værter, og gøre det fra et betroet system.

Virksomheden advarede om, at det muligvis ikke er tilstrækkeligt at afinstallere udvidelsen, fordi nyttelasten placerer selvstændige scripts, der sikrer vedvarende adgang, og som fortsætter med at køre. Den sagde også, at den begrænsede indsamling af miljøvariabler ikke udelukker, at der senere opnås adgang til legitimationsoplysninger via bagdøren.

Kontrollen af påvirkning leder efter angriberens offentlige nøgle, mærket svc-telemetry, føjet til SSH- authorized_keys filen: en grep-kommando på macOS og en PowerShell-kontrol på Windows, der omfatter både brugerens authorized_keys fil og administrators_authorized_keys fil under C:\ProgramData\ssh. En maskine er berørt, hvis nøglen findes. I så fald henviser Cursor brugerne til virksomhedens afhjælpningsscript til den pågældende platform.

macOS-scriptet, remediate-macos.shog Windows-scriptet, remediate-windows.ps1skal køres fra en PowerShell-session, der er åbnet med administratorrettigheder. macOS-scriptet skal køres som den berørte bruger og ikke som root. Begge scripts fjerner den ondsindede udvidelse, mekanismerne til vedvarende adgang, de kørende tunnelprocesser og angriberens SSH-nøgle. De afsluttes med en statuskode, der ikke er nul, hvis noget stadig er tilbage.

De offentliggjorte indikatorer på kompromittering omfatter SHA-256-hashværdier for de ændrede darwin-arm64- og win32-x64-VSIX-pakker samt en ændret extension.js fil i udvidelsesmappen for version 2.1.313 på macOS eller Windows, som indeholder strengene 134.209.82.225 og svc-telemetry. Netværksindikatorer omfatter angriberens slutpunkt 134.209.82.225, et omvendt SSH-mål på tunnel@134.209.82.225 via TCP-port 22, et eksternt beacon på samme adresse via port 8099 og et forsøg på beacon via loopback-adressen 127.0.0.1:8099. Cursor opregnede også den uautoriserede offentlige ssh-ed25519-nøgle med fingeraftrykket SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, et fingeraftryk for en omvendt tunnel-nøgle og filstier til persistens for macOS og Windows — herunder en LaunchAgent med etiketten com.apple.sysmond, en planlagt opgave med navnet SysMon, og et reservescript i mappen Start med navnet sysmon.cmd — samt indikatorer på kommandolinjen, herunder ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, og en Add-WindowsCapability kommando, der installerer OpenSSH-serverfunktionen.

Cursor bemærkede, at payloadens opslag af offentlig IP-adresse går til ifconfig.me og api.ipify.org, som er legitime tjenester, og at adgang til dem alene ikke er en indikator. Virksomheden henviste spørgsmål til security@cursor.com.