Cursor ujawnia próbę zainstalowania backdoora SSH w złośliwym rozszerzeniu Claude Code

29 października 2026 r. Cursor ujawnił incydent związany ze zmodyfikowaną w złośliwym celu wersją rozszerzenia Anthropic.claude-code w marketplace’ie rozszerzeń VS Code. Firma poinformowała, że pakiet nie został opracowany przez Anthropic i uruchamiał kod próbujący zainstalować trwały backdoor SSH. Incydent mógł dotknąć najwyżej 5000 użytkowników.

W komunikacie dotyczącym bezpieczeństwa firma poinformowała, że skontaktuje się bezpośrednio z użytkownikami, których dotyczy incydent. Złośliwy pakiet, wersja 2.1.313 rozszerzenia Claude Code firmy Anthropic, był dostępny w marketplace’ie od około 2:27 do 13:35 czasu PT 29 października 2026 r.

Jak działa złośliwa wersja

Cursor poinformował, że zmodyfikowane rozszerzenie gromadzi informacje o hoście i użytkowniku: nazwę hosta, nazwę użytkownika, system operacyjny, architekturę, ścieżkę do katalogu domowego, nazwy zmiennych środowiskowych, katalogi robocze, skonfigurowany adres e-mail Git oraz publiczny adres IP komputera.

Rozszerzenie próbuje dodać kontrolowany przez atakującego klucz SSH do authorized_keys pliku, włączyć lokalną usługę SSH i otworzyć zwrotny tunel SSH. Cursor poinformował, że ta operacja nie powiodłaby się poza skrajnie nietypowymi sytuacjami, w których Cursor zostałby uruchomiony z uprawnieniami administratora, ze względu na błędy w złośliwym kodzie. Firma dodała, że włączenie lokalnej usługi SSH wymaga uprawnień administratora, których rozszerzenie nie ma na większości komputerów z systemami macOS i Windows, więc na takich urządzeniach atakujący nie mógłby zalogować się przez tunel. Mimo to rozszerzenie nadal dodaje klucz SSH atakującego, instaluje mechanizmy utrzymywania dostępu i wysyła atakującemu informacje o hoście.

Cursor poinformował, że w celu utrzymania dostępu payload instaluje w systemie macOS element LaunchAgent, a w systemie Windows zaplanowane zadanie, które próbuje działać jako SYSTEM, z uruchamianym przy starcie skryptem jako rozwiązaniem awaryjnym; skrypty działające w tle ponawiają próbę ustanowienia tunelu mniej więcej co 60 sekund. Rozszerzenie wysyła informacje o hoście i statusie backdoora za pomocą żądań HTTP POST do /beacon punktu końcowego na porcie 8099.

Reakcja Cursor

Cursor poinformował, że natychmiast po wykryciu usunął złośliwą wersję z marketplace’u i zablokował jej dalsze rozpowszechnianie, a następnie na wszelki wypadek wyłączył cały marketplace. Firma podała, że przeprowadziła audyt dostępu i potwierdziła, iż żadne inne rozszerzenia nie zostały zmodyfikowane, wymieniła klucze, przebudowała marketplace i ponownie go uruchomiła.

Cursor poinformował również, że współpracował z dostawcą chmury hostującym serwer atakującego, aby wyłączyć ten serwer. Serwer atakującego już nie działa, przez co odwrotna powłoka i żądania POST zawierające informacje o hoście są nieaktywne. Firma podała, że jej ustalenia dotyczą zidentyfikowanego pakietu i że nie ma dowodów na to, by problem dotyczył innych wersji rozszerzenia lub jego oficjalnej dystrybucji.

Działania naprawcze i wskaźniki

Cursor zalecił wszystkim osobom, które w okresie narażenia zainstalowały z marketplace’u lub zaktualizowały do wersji Anthropic.claude-code 2.1.313, uruchomienie narzędzia do sprawdzenia wpływu incydentu, wyszukanie opublikowanych wskaźników w telemetrii punktów końcowych, sieci i instalacji rozszerzeń, odizolowanie hostów noszących ślady uruchomienia payloadu lub instalacji backdoora oraz usunięcie nieautoryzowanego klucza SSH, mechanizmów utrzymywania dostępu i działających procesów tunelu za pomocą skryptów naprawczych firmy, a także ocenę, czy host należy odbudować. Użytkownicy, których dotyczy incydent, powinni zmienić dane uwierzytelniające i unieważnić sesje dostępne z zaatakowanych hostów, korzystając z zaufanego systemu.

Firma ostrzegła, że samo odinstalowanie rozszerzenia może nie wystarczyć, ponieważ payload zapisuje samodzielne skrypty utrzymujące dostęp, które nadal działają. Dodała też, że ograniczony zakres gromadzonych zmiennych środowiskowych nie wyklucza późniejszego uzyskania dostępu do danych uwierzytelniających przez backdoora.

Narzędzie do sprawdzenia wpływu incydentu wyszukuje klucz publiczny atakującego, oznaczony svc-telemetry, dołączony do pliku SSH authorized_keys : polecenie grep w systemie macOS oraz kontrolę w PowerShellu w systemie Windows, obejmującą zarówno plik użytkownika authorized_keys , jak i plik administrators_authorized_keys w katalogu C:\ProgramData\ssh. Komputer jest uznawany za zaatakowany, jeśli klucz zostanie znaleziony; w takim przypadku Cursor kieruje użytkowników do skryptu naprawczego dla danego systemu.

Skrypt dla systemu macOS, remediate-macos.sh, należy uruchomić jako użytkownik, którego dotyczy incydent, a nie jako root. Skrypt dla systemu Windows, remediate-windows.ps1, należy uruchomić w sesji PowerShella otwartej z uprawnieniami administratora. Oba skrypty usuwają złośliwe rozszerzenie, mechanizmy utrzymywania dostępu, działające procesy tunelu i klucz SSH atakującego, a jeśli cokolwiek pozostanie, kończą działanie z niezerowym kodem błędu.

Opublikowane wskaźniki naruszenia bezpieczeństwa obejmują skróty SHA-256 zmodyfikowanych pakietów VSIX dla darwin-arm64 i win32-x64, a także zmodyfikowany plik extension.js w folderze rozszerzenia w wersji 2.1.313 dla systemu macOS lub Windows, zawierający ciągi 134.209.82.225 i svc-telemetry. Wskaźniki sieciowe obejmują adres atakującego 134.209.82.225, adres docelowy odwrotnego tunelu SSH — tunnel@134.209.82.225 — na porcie TCP 22, zewnętrzne połączenie sygnalizacyjne pod tym samym adresem na porcie 8099 oraz próbę nawiązania takiego połączenia przez interfejs loopback pod adresem 127.0.0.1:8099. Cursor wymienił również nieautoryzowany klucz publiczny ssh-ed25519 o odcisku palca SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, odcisk palca klucza odwrotnego tunelu, ścieżki plików zapewniających trwałość działania w systemach macOS i Windows — w tym agenta LaunchAgent oznaczonego etykietą com.apple.sysmond, zaplanowane zadanie o nazwie SysMon, a także skrypt awaryjny w folderze Autostart o nazwie sysmon.cmd — oraz wskaźniki wiersza poleceń, w tym ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, oraz Add-WindowsCapability polecenie instalujące funkcję serwera OpenSSH.

Cursor odnotował, że zapytania ładunku o publiczny adres IP kierowane są do ifconfig.me i api.ipify.org, które są legalnymi usługami, oraz że samo uzyskiwanie do nich dostępu nie stanowi wskaźnika. Firma skierowała pytania do security@cursor.com.