Cursor onthult poging tot installatie van SSH-achterdeur via kwaadaardige Claude Code-extensie

Cursor maakte op 29 oktober 2026 een beveiligingsincident bekend waarbij een kwaadaardig aangepaste versie van de Anthropic.claude-code-extensie beschikbaar was in de Marketplace voor VS Code-extensies. Het bedrijf zei dat het pakket niet door Anthropic was ontwikkeld en code uitvoerde die probeerde een permanente SSH-achterdeur te installeren. Maximaal 5.000 gebruikers werden getroffen.

In een beveiligingsmelding liet het bedrijf weten rechtstreeks contact op te nemen met getroffen gebruikers. Het kwaadaardige pakket, versie 2.1.313 van de Claude Code-extensie van Anthropic, was op 29 oktober 2026 tussen ongeveer 2.27 uur PT en 13.35 uur PT beschikbaar in de marktplaats.

Hoe de kwaadaardige versie zich gedraagt

Volgens Cursor verzamelt de aangepaste extensie informatie over de host en de gebruiker: de hostnaam, gebruikersnaam, het besturingssysteem, de architectuur, het pad naar de thuismap, namen van omgevingsvariabelen, werkmappen, het geconfigureerde e-mailadres voor Git en het openbare IP-adres van de machine.

De extensie probeert een door de aanvaller beheerde SSH-sleutel toe te voegen aan die van de gebruiker authorized_keys bestand, de lokale SSH-service in te schakelen en een omgekeerde SSH-tunnel te openen. Volgens Cursor zou deze stap alleen slagen onder zeer uitzonderlijke omstandigheden, wanneer Cursor met beheerdersrechten was gestart, vanwege fouten in de kwaadaardige code. Het bedrijf voegde eraan toe dat voor het inschakelen van de lokale SSH-service beheerdersrechten nodig zijn waarover de extensie op de meeste macOS- en Windows-hosts niet beschikt. Op die machines had de aanvaller dus niet via de tunnel kunnen inloggen. Toch voegt de extensie nog steeds de SSH-sleutel van de aanvaller toe, installeert ze mechanismen om actief te blijven en verstuurt ze hostgegevens naar de aanvaller.

Voor persistentie installeert de payload volgens Cursor op macOS een LaunchAgent of maakt hij op Windows een geplande taak aan die probeert als SYSTEM te worden uitgevoerd, met een opstartscript als terugvaloptie. Achtergrondscripts proberen de tunnel ongeveer elke 60 seconden opnieuw tot stand te brengen. De extensie verstuurt hostgegevens en de status van de achterdeur via HTTP POST-verzoeken naar een /beacon eindpunt op poort 8099.

De reactie van Cursor

Cursor zei de kwaadaardige versie direct na ontdekking uit de marktplaats te hebben verwijderd en verdere verspreiding te hebben geblokkeerd. Vervolgens legde het bedrijf uit voorzorg de volledige marktplaats plat. Het controleerde de toegangsgegevens en bevestigde dat er niet met andere extensies was geknoeid, vernieuwde de sleutels, bouwde de marktplaats opnieuw op en bracht die weer online.

Cursor zei ook dat het samenwerkte met de cloudprovider die de server van de aanvaller hostte om die offline te halen. De server van de aanvaller werkt niet meer, waardoor zowel de omgekeerde shell als de POST-verzoeken met hostgegevens niet meer functioneren. Het bedrijf zei dat de bevindingen betrekking hebben op het geïdentificeerde pakket en dat het geen bewijs heeft dat andere versies van de extensie of de officiële distributie zijn getroffen.

Herstelstappen en indicatoren

Cursor adviseerde iedereen die tijdens de periode waarin de extensie kwetsbaar was Anthropic.claude-code 2.1.313 uit de marktplaats had geïnstalleerd of bijgewerkt, de impactcontrole uit te voeren en in telemetrie over endpoints, het netwerk en extensie-installaties te zoeken naar de gepubliceerde indicatoren. Hosts waarop aanwijzingen voor uitvoering van de payload of installatie van de achterdeur zijn gevonden, moeten worden geïsoleerd. Verwijder vervolgens met de herstelscripts de ongeautoriseerde SSH-sleutel, de mechanismen voor persistentie en de actieve tunnelprocessen, en beoordeel of de host opnieuw moet worden opgebouwd. Getroffen gebruikers moeten inloggegevens en sessies vernieuwen waartoe vanaf de getroffen hosts toegang mogelijk was, en dat doen vanaf een vertrouwd systeem.

Het bedrijf waarschuwde dat het verwijderen van de extensie mogelijk niet voldoende is, omdat de payload zelfstandige persistentiescripts achterlaat die actief blijven. De beperkte verzameling van omgevingsvariabelen sluit volgens het bedrijf niet uit dat later via de achterdeur toegang wordt verkregen tot inloggegevens.

De impactcontrole zoekt naar de openbare sleutel van de aanvaller, met het label svc-telemetry, die is toegevoegd aan het SSH- authorized_keys bestand: op macOS met een grep-opdracht en op Windows met een PowerShell-controle die zowel het bestand van de gebruiker authorized_keys als het bestand administrators_authorized_keys onder C:\ProgramData\sshcontroleert. Een machine is getroffen als de sleutel wordt aangetroffen. In dat geval verwijst Cursor gebruikers naar het herstelscript voor het betreffende platform.

Het macOS-script, remediate-macos.sh, moet worden uitgevoerd als de getroffen gebruiker, niet als root. Het Windows-script, remediate-windows.ps1, moet worden uitgevoerd vanuit een PowerShell-sessie die met beheerdersrechten is gestart. Beide scripts verwijderen de kwaadaardige extensie, de persistentiemiddelen, de actieve tunnelprocessen en de SSH-sleutel van de aanvaller. Ze eindigen met een statuscode die niet nul is als er nog iets achterblijft.

De gepubliceerde indicatoren van compromittering omvatten SHA-256-hashes van de aangepaste darwin-arm64- en win32-x64-VSIX-pakketten en een aangepast extension.js bestand in de map van de extensie voor versie 2.1.313 op macOS of Windows, met daarin de tekenreeksen 134.209.82.225 en svc-telemetry . Netwerkindicatoren zijn onder meer het aanvallerseindpunt 134.209.82.225, een reverse-SSH-doel op tunnel@134.209.82.225 via TCP-poort 22, een externe beacon op hetzelfde adres via poort 8099 en een poging om een beacon te versturen naar 127.0.0.1:8099 via loopback. Cursor vermeldde ook de ongeautoriseerde openbare ssh-ed25519-sleutel met vingerafdruk SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, een vingerafdruk van een sleutel voor een reverse tunnel, bestandspaden voor persistentie op macOS en Windows — waaronder een LaunchAgent met het label com.apple.sysmond, een geplande taak met de naam SysMon, en een terugvalscript in de map Opstarten met de naam sysmon.cmd — en indicatoren op de opdrachtregel, waaronder ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, en een Add-WindowsCapability opdracht om de OpenSSH-servermogelijkheid te installeren.

Cursor merkte op dat de opvragingen van het openbare IP-adres door de payload naar ifconfig.me en api.ipify.org gaan, beide legitieme diensten, en dat toegang tot die diensten op zichzelf geen indicator is. Het bedrijf verwees vragen naar security@cursor.com.