Кибербезопасность
Cursor сообщает о попытке установить SSH-бэкдор через вредоносное расширение Claude Code
Добавьте Unite.AI в избранные источники в Google
29 октября 2026 года Cursor сообщил об инциденте безопасности, связанном с вредоносно изменённой версией расширения Anthropic.claude-code в магазине расширений VS Code. Компания заявила, что пакет не был разработан Anthropic и запускал код, пытавшийся установить постоянный SSH-бэкдор. Инцидент затронул не более 5 000 пользователей.
В уведомлении о безопасности компания сообщила, что свяжется с затронутыми пользователями напрямую. Вредоносный пакет — версия 2.1.313 расширения Claude Code от Anthropic — был доступен в магазине расширений примерно с 2:27 утра по тихоокеанскому времени до 13:35 по тихоокеанскому времени 29 октября 2026 года.
Как работает вредоносная версия
По словам Cursor, изменённое расширение собирает сведения о компьютере и пользователе: имя хоста, имя пользователя, операционную систему, архитектуру, путь к домашнему каталогу, названия переменных среды, рабочие каталоги, указанный адрес электронной почты Git и публичный IP-адрес компьютера.
Расширение пытается добавить контролируемый злоумышленником SSH-ключ в файл пользователя authorized_keys файл, включить локальную службу SSH и открыть обратный SSH-туннель. По словам Cursor, этот шаг не удастся выполнить, за исключением крайне необычных обстоятельств, когда Cursor запущен с правами администратора: вредоносный код содержит ошибки. Компания добавила, что для включения локальной службы SSH нужны права администратора, которых у расширения нет на большинстве компьютеров под управлением macOS и Windows, поэтому на таких устройствах злоумышленник не смог бы войти через туннель. Тем не менее расширение добавляет SSH-ключ злоумышленника, устанавливает механизмы закрепления в системе и отправляет ему сведения о компьютере.
По словам Cursor, для закрепления в системе вредоносная программа устанавливает LaunchAgent в macOS или, в Windows, задачу планировщика, которая пытается запускаться от имени SYSTEM, а если это не удаётся — использует сценарий запуска; фоновые сценарии при этом пытаются восстановить туннель примерно каждые 60 секунд. Расширение отправляет сведения о компьютере и статусе бэкдора через HTTP POST-запросы на /beacon конечную точку на порту 8099.
Ответ Cursor
Cursor сообщил, что сразу после обнаружения удалил вредоносную версию из магазина расширений и заблокировал её дальнейшее распространение, а затем в качестве меры предосторожности отключил весь магазин. Компания заявила, что проверила доступы и подтвердила, что другие расширения не подверглись вмешательству, сменила ключи, пересобрала магазин и снова запустила его.
Cursor также сообщил, что связался с облачным провайдером, на сервере которого размещалась инфраструктура злоумышленника, и добился его отключения. Сервер злоумышленника больше не работает, поэтому обратная оболочка и POST-запросы со сведениями о компьютере не функционируют. Компания заявила, что её выводы касаются выявленного пакета и что у неё нет доказательств того, что затронуты другие версии расширения или его официальная версия.
Устранение последствий и индикаторы компрометации
Cursor рекомендовал всем, кто установил или обновил Anthropic.claude-code до версии 2.1.313 из его магазина расширений в период, когда пакет был доступен, запустить проверку на наличие последствий, поискать опубликованные индикаторы в телеметрии конечных точек, сети и установки расширений, изолировать компьютеры, на которых обнаружены признаки выполнения вредоносной программы или установки бэкдора, удалить несанкционированный SSH-ключ, механизмы закрепления в системе и работающие процессы туннеля с помощью сценариев устранения последствий, а также оценить, следует ли переустановить систему на компьютере. Затронутым пользователям следует сменить учётные данные и завершить сеансы, доступные с этих компьютеров, используя доверенную систему.
Компания предупредила, что простого удаления расширения может быть недостаточно: вредоносная программа устанавливает автономные сценарии закрепления в системе, которые продолжают работать. Также компания отметила, что ограниченный сбор данных о переменных среды не исключает последующего получения учётных данных через бэкдор.
Проверка на наличие последствий ищет публичный ключ злоумышленника, помеченный svc-telemetry, добавленный в SSH authorized_keys файл: команда grep в macOS и проверка PowerShell в Windows, охватывающая оба файла пользователя authorized_keys файл и administrators_authorized_keys файл в каталоге C:\ProgramData\ssh. Компьютер считается затронутым, если ключ найден; в этом случае Cursor направляет пользователей к сценарию устранения последствий для соответствующей платформы.
Сценарий для macOS, remediate-macos.sh, нужно запускать от имени затронутого пользователя, а не от имени root; сценарий для Windows, remediate-windows.ps1, следует запускать из сеанса PowerShell, открытого с правами администратора. Оба сценария удаляют вредоносное расширение, механизмы закрепления в системе, работающие процессы туннеля и SSH-ключ злоумышленника; если что-либо останется, сценарий завершится с ненулевым кодом возврата.
Опубликованные индикаторы компрометации включают хеши SHA-256 изменённых пакетов VSIX для darwin-arm64 и win32-x64, а также изменённый extension.js файл в каталоге расширения версии 2.1.313 для macOS или Windows, содержащий строки 134.209.82.225 и svc-telemetry. К сетевым индикаторам относятся адрес атакующего 134.209.82.225, цель обратного SSH-подключения tunnel@134.209.82.225 на TCP-порту 22, внешний маяк на том же адресе и порту 8099, а также попытка отправить маяк через loopback-адрес 127.0.0.1:8099. Cursor также указала несанкционированный открытый ключ ssh-ed25519 с отпечатком SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, отпечаток ключа обратного туннеля, пути к файлам для закрепления в системе в macOS и Windows — в том числе агента запуска с меткой com.apple.sysmond, запланированную задачу под названием SysMon, а также резервный сценарий в папке автозагрузки под названием sysmon.cmd — и индикаторы командной строки, в том числе ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, а также Add-WindowsCapability команду для установки компонента сервера OpenSSH.
Cursor отметила, что запросы полезной нагрузки для определения публичного IP-адреса отправляются на ifconfig.me и api.ipify.org — легитимные сервисы, — и что само по себе обращение к ним не является индикатором. Компания направила вопросы по адресу security@cursor.com.
