Cursor révèle une tentative d’installation d’une porte dérobée SSH dans une extension Claude Code malveillante

Le 29 octobre 2026, Cursor a révélé un incident de sécurité impliquant une version modifiée à des fins malveillantes de l’extension Anthropic.claude-code dans la Marketplace des extensions VS Code. L’entreprise a indiqué que le paquet n’avait pas été développé par Anthropic et qu’il exécutait du code tentant d’installer une porte dérobée SSH persistante. Jusqu’à 5 000 utilisateurs ont été touchés.

Dans un avis de sécurité, l’entreprise a indiqué qu’elle contacterait directement les utilisateurs concernés. Le paquet malveillant, la version 2.1.313 de l’extension Claude Code d’Anthropic, était disponible sur la marketplace entre environ 2 h 27 PT et 13 h 35 PT le 29 octobre 2026.

Comportement de la version malveillante

Cursor a indiqué que l’extension modifiée recueille des informations sur l’hôte et l’utilisateur : nom d’hôte, nom d’utilisateur, système d’exploitation, architecture, chemin du répertoire personnel, noms des variables d’environnement, répertoires de travail, adresse e-mail Git configurée et adresse IP publique de la machine.

L’extension tente d’ajouter une clé SSH contrôlée par l’attaquant au authorized_keys fichier, d’activer le service SSH local et d’ouvrir un tunnel SSH inversé. Cursor a indiqué que cette étape échouerait, sauf dans des circonstances très inhabituelles où Cursor aurait été lancé avec des privilèges d’administrateur, en raison d’erreurs dans le code malveillant. L’entreprise a ajouté que l’activation du service SSH local nécessite des droits d’administration dont l’extension ne dispose pas sur la plupart des hôtes macOS et Windows ; sur ces machines, l’attaquant n’aurait donc pas pu se connecter par le tunnel. Malgré cela, l’extension ajoute toujours la clé SSH de l’attaquant, installe un mécanisme de persistance et lui envoie des informations sur l’hôte.

Pour assurer la persistance, Cursor a indiqué que la charge utile installe un LaunchAgent sur macOS ou, sur Windows, une tâche planifiée qui tente de s’exécuter en tant que SYSTEM, avec un script de démarrage comme solution de repli, tandis que des scripts d’arrière-plan réessaient d’établir le tunnel environ toutes les 60 secondes. L’extension transmet des informations sur l’hôte et l’état de la porte dérobée au moyen de requêtes HTTP POST à un /beacon point de terminaison sur le port 8099.

La réponse de Cursor

Cursor a indiqué avoir retiré la version malveillante de la marketplace dès sa détection et bloqué toute nouvelle distribution, puis avoir fermé l’ensemble de la marketplace par précaution. L’entreprise a déclaré avoir audité les accès et confirmé qu’aucune autre extension n’avait été altérée, renouvelé ses clés, reconstruit la marketplace et l’avoir remise en ligne.

Cursor a également indiqué avoir collaboré avec le fournisseur de services infonuagiques qui hébergeait le serveur de l’attaquant afin de le mettre hors ligne. Le serveur de l’attaquant ne fonctionne plus, rendant inopérants le shell inversé et l’envoi des détails de l’hôte par requête POST. L’entreprise a précisé que ses conclusions concernaient le paquet identifié et qu’elle ne disposait d’aucun élément indiquant que d’autres versions de l’extension ou la distribution officielle étaient touchées.

Mesures correctives et indicateurs

Cursor a conseillé à toute personne ayant installé ou mis à jour Anthropic.claude-code 2.1.313 depuis sa marketplace pendant la période d’exposition d’exécuter son outil de vérification d’impact, de rechercher les indicateurs publiés dans la télémétrie des points de terminaison, du réseau et de l’installation des extensions, d’isoler les hôtes présentant des signes d’exécution de la charge utile ou d’installation de la porte dérobée, puis de supprimer la clé SSH non autorisée, les mécanismes de persistance et les processus de tunnel en cours à l’aide de ses scripts de correction, tout en évaluant s’il convient de reconstruire l’hôte. Les utilisateurs concernés devraient renouveler les identifiants et les sessions accessibles depuis les hôtes touchés, en utilisant un système de confiance.

L’entreprise a averti que la désinstallation de l’extension pourrait ne pas suffire, car la charge utile dépose des scripts de persistance autonomes qui continuent de s’exécuter. Elle a ajouté que la collecte limitée de variables d’environnement n’excluait pas un accès ultérieur aux identifiants par l’intermédiaire de la porte dérobée.

L’outil de vérification d’impact recherche la clé publique de l’attaquant, intitulée svc-telemetry, ajoutée au authorized_keys fichier : une commande grep sur macOS et une vérification PowerShell sur Windows portant à la fois sur le fichier de l’utilisateur et sur le authorized_keys fichier dans administrators_authorized_keys le fichier situé dans C:\ProgramData\ssh. Une machine est touchée si la clé est détectée ; dans ce cas, Cursor dirige les utilisateurs vers son script de correction pour la plateforme concernée.

Le script pour macOS, remediate-macos.shet le script pour Windows, remediate-windows.ps1doivent être exécutés dans une session PowerShell ouverte avec des droits d’administrateur. Les deux scripts suppriment l’extension malveillante, les mécanismes de persistance, les processus de tunnel en cours et la clé SSH de l’attaquant ; ils se terminent avec un code de sortie différent de zéro si un élément subsiste.

Les indicateurs de compromission publiés comprennent les empreintes SHA-256 des paquets VSIX modifiés darwin-arm64 et win32-x64, ainsi qu’un fichier extension.js modifié dans le dossier de l’extension 2.1.313 pour macOS ou Windows, contenant les chaînes 134.209.82.225 et svc-telemetry. Les indicateurs réseau comprennent l’adresse de l’attaquant 134.209.82.225, une cible SSH inversée tunnel@134.209.82.225 sur le port TCP 22, une balise externe à la même adresse sur le port 8099 et une tentative de balise en boucle locale à 127.0.0.1:8099. Cursor a également répertorié la clé publique ssh-ed25519 non autorisée, dont l’empreinte est SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, une empreinte de clé de tunnel inversé, des chemins d’accès aux fichiers de persistance pour macOS et Windows — notamment un LaunchAgent portant le libellé com.apple.sysmond, une tâche planifiée nommée SysMon, et un script de secours dans le dossier de démarrage nommé sysmon.cmd — ainsi que des indicateurs de ligne de commande, notamment ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, et une Add-WindowsCapability commande installant la fonctionnalité de serveur OpenSSH.

Cursor a indiqué que les requêtes du programme malveillant visant à obtenir son adresse IP publique sont envoyées à ifconfig.me et api.ipify.org, qui sont des services légitimes, et que le seul fait d’y accéder ne constitue pas un indicateur. La société a invité à adresser les questions à security@cursor.com.