Cursor avslører forsøk på å installere en SSH-bakdør via en ondsinnet Claude Code-utvidelse

Cursor opplyste 29. oktober 2026 om en sikkerhetshendelse knyttet til en ondsinnet endret versjon av Anthropic.claude-code-utvidelsen i markedsplassen for VS Code-utvidelser. Selskapet sa at pakken ikke var utviklet av Anthropic, og at den kjørte kode som forsøkte å installere en vedvarende SSH-bakdør. Opptil 5 000 brukere ble berørt.

I en sikkerhetsmelding sa selskapet at det vil kontakte berørte brukere direkte. Den ondsinnede pakken, versjon 2.1.313 av Anthropics Claude Code-utvidelse, var tilgjengelig på markedsplassen fra omtrent kl. 02.27 PT til kl. 13.35 PT 29. oktober 2026.

Slik fungerer den ondsinnede versjonen

Cursor sa at den endrede utvidelsen samler inn informasjon om vertsmaskinen og brukeren: vertsnavn, brukernavn, operativsystem, arkitektur, banen til hjemmekatalogen, navn på miljøvariabler, arbeidskataloger, den konfigurerte Git-e-postadressen og maskinens offentlige IP-adresse.

Utvidelsen forsøker å legge til en SSH-nøkkel kontrollert av angriperen i brukerens authorized_keys fil, aktivere den lokale SSH-tjenesten og åpne en omvendt SSH-tunnel. Cursor sa at dette trinnet ikke ville lykkes, bortsett fra under svært uvanlige omstendigheter der Cursor ble startet med administratorrettigheter, på grunn av feil i den ondsinnede koden. Selskapet la til at det kreves administratorrettigheter for å aktivere den lokale SSH-tjenesten, og at utvidelsen ikke har slike rettigheter på de fleste macOS- og Windows-vertsmaskiner. Angriperen ville derfor ikke ha kunnet logge inn via tunnelen på disse maskinene. Likevel legger utvidelsen fortsatt til angriperens SSH-nøkkel, installerer mekanismer for vedvarende tilgang og sender detaljer om vertsmaskinen til angriperen.

For å opprettholde tilgangen installerer nyttelasten ifølge Cursor en LaunchAgent på macOS eller, på Windows, en planlagt oppgave som forsøker å kjøre som SYSTEM, med et oppstartsskript som reserve. Samtidig prøver bakgrunnsskript på nytt å opprette tunnelen omtrent hvert 60. sekund. Utvidelsen sender detaljer om vertsmaskinen og status for bakdøren via HTTP POST-forespørsler til et /beacon endepunkt på port 8099.

Cursors håndtering

Cursor sa at selskapet fjernet den ondsinnede versjonen fra markedsplassen så snart den ble oppdaget, stanset videre distribusjon og deretter stengte hele markedsplassen som et føre-var-tiltak. Selskapet sa at det gjennomgikk tilgangen og bekreftet at ingen andre utvidelser var blitt tuklet med, byttet ut nøklene sine, bygget opp markedsplassen på nytt og åpnet den igjen.

Cursor sa også at selskapet samarbeidet med skyleverandøren som driftet angriperens server, for å få den koblet fra nettet, og at angriperens server ikke lenger fungerer. Dermed fungerer verken det omvendte skallet eller POST-forespørselen med detaljer om vertsmaskinen. Selskapet sa at funnene gjelder den identifiserte pakken, og at det ikke har bevis for at andre versjoner av utvidelsen eller den offisielle distribusjonen er berørt.

Tiltak for å rette opp problemet og indikatorer

Cursor anbefalte alle som installerte eller oppdaterte til Anthropic.claude-code 2.1.313 fra markedsplassen i løpet av eksponeringsperioden, å kjøre selskapets kontroll av om systemet er berørt, søke etter de publiserte indikatorene i telemetridata for endepunkter, nettverk og installasjon av utvidelser, isolere vertsmaskiner som viser tegn på at nyttelasten er kjørt eller bakdøren er installert, og fjerne den uautoriserte SSH-nøkkelen, mekanismene for vedvarende tilgang og prosessene som kjører tunnelen, ved hjelp av selskapets skript for opprydding. De bør samtidig vurdere om vertsmaskinen må bygges opp på nytt. Berørte brukere bør bytte legitimasjon og økter som er tilgjengelige fra berørte vertsmaskiner, og gjøre dette fra et pålitelig system.

Selskapet advarte om at det kanskje ikke er tilstrekkelig å avinstallere utvidelsen, fordi nyttelasten legger igjen frittstående skript for vedvarende tilgang som fortsetter å kjøre. Det sa også at den begrensede innsamlingen av miljøvariabler ikke utelukker at legitimasjon senere kan bli hentet ut via bakdøren.

Kontrollen ser etter angriperens offentlige nøkkel, merket svc-telemetry, lagt til i SSH- authorized_keys filen: en grep-kommando på macOS og en PowerShell-kontroll på Windows som omfatter både brukerens authorized_keys fil og administrators_authorized_keys filen under C:\ProgramData\ssh. En maskin regnes som berørt hvis nøkkelen blir funnet. I så fall viser Cursor brukerne til oppryddingsskriptet for den aktuelle plattformen.

macOS-skriptet, remediate-macos.shog Windows-skriptet, remediate-windows.ps1må kjøres fra en PowerShell-økt som er åpnet med administratorrettigheter. Begge skriptene fjerner den ondsinnede utvidelsen, mekanismene for vedvarende tilgang, prosessene som kjører tunnelen og angriperens SSH-nøkkel. De avsluttes med en statuskode som ikke er null hvis noe gjenstår.

De publiserte indikatorene på kompromittering omfatter SHA-256-hasher for de endrede VSIX-pakkene for darwin-arm64 og win32-x64, samt en endret extension.js fil i utvidelsesmappen for macOS eller Windows versjon 2.1.313, som inneholder strengene 134.209.82.225 og svc-telemetry. Nettverksindikatorer omfatter angriperens endepunkt 134.209.82.225, et mål for omvendt SSH på tunnel@134.209.82.225 via TCP-port 22, en ekstern beacon på samme adresse via port 8099 og et forsøk på beacon-signalering til tilbakekoblingsadressen 127.0.0.1:8099. Cursor oppga også den uautoriserte offentlige ssh-ed25519-nøkkelen med fingeravtrykket SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, et fingeravtrykk for en omvendt tunnel-nøkkel og filbaner for persistens på macOS og Windows – inkludert en LaunchAgent med etiketten com.apple.sysmond, en planlagt oppgave med navnet SysMon, og et reserve­skript i Oppstart-mappen med navnet sysmon.cmd – samt indikatorer på kommandolinjen, blant annet ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, og en Add-WindowsCapability kommando som installerer OpenSSH Server-funksjonen.

Cursor påpekte at oppslag av offentlig IP-adresse fra skadevaren går til ifconfig.me og api.ipify.org, som er legitime tjenester, og at tilgang til dem alene ikke er en indikator. Selskapet henviste spørsmål til security@cursor.com.