Cursor rende noto un tentativo di installare una backdoor SSH tramite un’estensione malevola di Claude Code

Il 29 ottobre 2026, Cursor ha reso noto un incidente di sicurezza che ha coinvolto una versione modificata con intento malevolo dell’estensione Anthropic.claude-code, disponibile nel Marketplace delle estensioni di VS Code. L’azienda ha dichiarato che il pacchetto non era stato sviluppato da Anthropic e che eseguiva codice che tentava di installare una backdoor SSH persistente. Gli utenti coinvolti sono stati al massimo 5.000.

In un avviso di sicurezza, l’azienda ha dichiarato che contatterà direttamente gli utenti coinvolti. Il pacchetto malevolo, la versione 2.1.313 dell’estensione Claude Code di Anthropic, è stato disponibile nel marketplace dalle 2:27 circa alle 13:35 PT del 29 ottobre 2026.

Come si comporta la versione malevola

Cursor ha dichiarato che l’estensione modificata raccoglie informazioni sull’host e sull’utente: nome host, nome utente, sistema operativo, architettura, percorso della directory home, nomi delle variabili d’ambiente, directory di lavoro, indirizzo e-mail Git configurato e indirizzo IP pubblico del computer.

L’estensione tenta di aggiungere una chiave SSH controllata dall’autore dell’attacco al file dell’utente authorized_keys file, attivare il servizio SSH locale e aprire un tunnel SSH inverso. Cursor ha dichiarato che questo passaggio non riuscirebbe, salvo circostanze altamente insolite in cui Cursor fosse avviato con privilegi di amministratore, a causa di errori nel codice malevolo. L’azienda ha aggiunto che l’attivazione del servizio SSH locale richiede privilegi di amministratore di cui l’estensione non dispone sulla maggior parte dei computer macOS e Windows; su queste macchine, quindi, l’autore dell’attacco non avrebbe potuto accedere tramite il tunnel. Ciononostante, l’estensione aggiunge comunque la chiave SSH dell’autore dell’attacco, installa meccanismi di persistenza e invia all’autore dell’attacco i dettagli dell’host.

Per garantire la persistenza, Cursor ha dichiarato che il payload installa un LaunchAgent su macOS oppure, su Windows, un’attività pianificata che tenta di essere eseguita come SYSTEM, con uno script di avvio come soluzione alternativa; gli script in background ritentano di stabilire il tunnel all’incirca ogni 60 secondi. L’estensione invia i dettagli dell’host e lo stato della backdoor tramite richieste HTTP POST a un /beacon endpoint sulla porta 8099.

La risposta di Cursor

Cursor ha dichiarato di aver rimosso immediatamente dal marketplace la versione malevola non appena rilevata e di averne bloccato l’ulteriore distribuzione, per poi chiudere l’intero marketplace a scopo precauzionale. L’azienda ha affermato di aver verificato gli accessi e confermato che nessun’altra estensione era stata manomessa, di aver ruotato le proprie chiavi, ricostruito il marketplace e ripristinato il servizio.

Cursor ha inoltre dichiarato di aver collaborato con il provider cloud che ospitava il server dell’autore dell’attacco per metterlo offline e che il server non è più operativo, rendendo non funzionanti la shell inversa e le richieste POST contenenti i dettagli dell’host. L’azienda ha precisato che i risultati riguardano il pacchetto identificato e che non vi sono prove che siano interessate altre versioni dell’estensione o la distribuzione ufficiale.

Misure correttive e indicatori

Cursor ha consigliato a chiunque abbia installato o aggiornato Anthropic.claude-code 2.1.313 dal suo marketplace durante il periodo di esposizione di eseguire il controllo d’impatto, cercare gli indicatori pubblicati nei dati telemetrici degli endpoint, della rete e delle installazioni delle estensioni, isolare gli host che mostrano prove dell’esecuzione del payload o dell’installazione della backdoor e rimuovere la chiave SSH non autorizzata, i meccanismi di persistenza e i processi del tunnel in esecuzione tramite gli script di correzione, valutando se sia necessario ricostruire l’host. Gli utenti coinvolti dovrebbero revocare e sostituire le credenziali e le sessioni accessibili dagli host interessati, operando da un sistema affidabile.

L’azienda ha avvertito che disinstallare l’estensione potrebbe non essere sufficiente, perché il payload installa script di persistenza autonomi che continuano a essere eseguiti. Ha inoltre precisato che la raccolta limitata delle variabili d’ambiente non esclude un successivo accesso alle credenziali tramite la backdoor.

Il controllo d’impatto cerca la chiave pubblica dell’autore dell’attacco, contrassegnata come svc-telemetry, aggiunta al file SSH authorized_keys file: un comando grep su macOS e un controllo PowerShell su Windows che verifica sia il file dell’utente authorized_keys file sia il administrators_authorized_keys file in C:\ProgramData\ssh. Una macchina è interessata se la chiave viene trovata; in tal caso, Cursor indirizza gli utenti allo script di correzione previsto per quella piattaforma.

Lo script per macOS, remediate-macos.sh, deve essere eseguito con l’account dell’utente interessato e non come root; lo script per Windows, remediate-windows.ps1, deve essere eseguito da una sessione PowerShell avviata con privilegi di amministratore. Entrambi rimuovono l’estensione malevola, i meccanismi di persistenza, i processi del tunnel in esecuzione e la chiave SSH dell’autore dell’attacco; terminano con un codice di uscita diverso da zero se rimane qualcosa.

Gli indicatori di compromissione pubblicati includono gli hash SHA-256 dei pacchetti VSIX modificati darwin-arm64 e win32-x64, oltre a un file extension.js modificato nella cartella dell’estensione 2.1.313 per macOS o Windows, contenente le stringhe 134.209.82.225 e svc-telemetry. Gli indicatori di rete includono l’endpoint dell’attaccante 134.209.82.225, una destinazione SSH inversa tunnel@134.209.82.225 sulla porta TCP 22, un beacon esterno allo stesso indirizzo sulla porta 8099 e un tentativo di beacon sulla loopback 127.0.0.1:8099. Cursor ha inoltre elencato la chiave pubblica ssh-ed25519 non autorizzata, con fingerprint SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, il fingerprint di una chiave del tunnel inverso e i percorsi dei file usati per la persistenza su macOS e Windows, compreso un LaunchAgent denominato com.apple.sysmond, un’attività pianificata denominata SysMon e uno script di ripiego nella cartella Esecuzione automatica denominato sysmon.cmd — e gli indicatori della riga di comando, tra cui ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, e un Add-WindowsCapability comando per installare la funzionalità del server OpenSSH.

Cursor ha osservato che le richieste del payload per individuare l’IP pubblico vengono inviate a ifconfig.me e api.ipify.org, servizi legittimi, e che il solo accesso a questi servizi non costituisce un indicatore. L’azienda ha indirizzato le domande a security@cursor.com.