Cursor повідомила про спробу встановити SSH-бекдор через шкідливе розширення Claude Code

29 жовтня 2026 року Cursor повідомила про інцидент безпеки, пов’язаний зі шкідливою модифікованою версією розширення Anthropic.claude-code у Marketplace розширень VS Code. Компанія заявила, що пакет розробила не Anthropic і що він запускав код, який намагався встановити постійний SSH-бекдор. Постраждати могли щонайбільше 5 000 користувачів.

У повідомленні про безпеку компанія заявила, що зв’яжеться з постраждалими користувачами безпосередньо. Шкідливий пакет — версія 2.1.313 розширення Claude Code від Anthropic — був доступний у Marketplace приблизно з 2:27 до 13:35 за тихоокеанським часом 29 жовтня 2026 року.

Як працює шкідлива версія

За словами Cursor, модифіковане розширення збирає дані про хост і користувача: ім’я хоста, ім’я користувача, операційну систему, архітектуру, шлях до домашнього каталогу, назви змінних середовища, робочі каталоги, налаштовану адресу електронної пошти Git і публічну IP-адресу комп’ютера.

додати контрольований зловмисником ключ SSH до користувача authorized_keys файлу, увімкнути локальну службу SSH і відкрити зворотний SSH-тунель. За словами Cursor, цей крок не вдався б, за винятком вкрай незвичних випадків, коли Cursor запущено з правами адміністратора, через помилки у шкідливому коді. Компанія додала, що для ввімкнення локальної служби SSH потрібні права адміністратора, яких розширення не має на більшості комп’ютерів із macOS і Windows, тож на таких пристроях зловмисник не зміг би увійти через тунель. Попри це, розширення все одно додає ключ SSH зловмисника, встановлює механізм постійної присутності та надсилає зловмиснику дані про хост.

Для забезпечення постійної присутності, за словами Cursor, корисне навантаження встановлює LaunchAgent у macOS або, у Windows, заплановане завдання, яке намагається запуститися з правами SYSTEM, із резервним сценарієм запуску. Фонові сценарії повторюють спробу створити тунель приблизно кожні 60 секунд. Розширення надсилає дані про хост і статус бекдора HTTP POST-запитами на /beacon кінцеву точку на порту 8099.

Дії Cursor у відповідь

Cursor заявила, що одразу після виявлення видалила шкідливу версію з Marketplace і заблокувала її подальше поширення, а потім із міркувань обережності вимкнула весь Marketplace. Компанія повідомила, що перевірила доступ і підтвердила, що інші розширення не зазнали втручання, змінила ключі, перебудувала Marketplace і знову запустила його.

Cursor також повідомила, що співпрацювала з хмарним провайдером, який розміщував сервер зловмисника, щоб вивести його з ладу. Сервер зловмисника більше не працює, тому зворотна оболонка та POST-запит із даними про хост не функціонують. Компанія заявила, що її висновки стосуються виявленого пакета і що вона не має доказів ураження інших версій розширення чи офіційного дистрибутива.

Кроки з усунення наслідків та індикатори

Cursor рекомендувала всім, хто встановив або оновив Anthropic.claude-code до версії 2.1.313 з її Marketplace у період, коли шкідливе розширення було доступне, запустити перевірку на ознаки ураження; перевірити телеметрію кінцевих точок, мережі та встановлення розширень на наявність опублікованих індикаторів; ізолювати хости, на яких виявлено ознаки запуску корисного навантаження чи встановлення бекдора; а також за допомогою сценаріїв усунення наслідків видалити несанкціонований ключ SSH, механізми постійної присутності та запущені процеси тунелю й оцінити, чи потрібно перебудувати хост. Користувачам, які постраждали, слід змінити облікові дані й завершити сеанси, доступні з уражених хостів, використовуючи довірену систему.

Компанія попередила, що простого видалення розширення може бути недостатньо, оскільки корисне навантаження залишає окремі сценарії забезпечення постійної присутності, які продовжують працювати. Також вона зазначила, що обмежений збір даних про змінні середовища не виключає подальшого доступу до облікових даних через бекдор.

Перевірка на ознаки ураження шукає публічний ключ зловмисника з позначкою svc-telemetry, доданий до SSH authorized_keys файлу: за допомогою команди grep у macOS і перевірки PowerShell у Windows, яка охоплює файл користувача authorized_keys файл і administrators_authorized_keys файл у каталозі C:\ProgramData\ssh. Комп’ютер вважається ураженим, якщо ключ знайдено; у такому разі Cursor скеровує користувачів до сценарію усунення наслідків для відповідної платформи.

Сценарій для macOS, remediate-macos.sh, потрібно запускати від імені постраждалого користувача, а не root. Сценарій для Windows, remediate-windows.ps1, потрібно запускати в сеансі PowerShell, відкритому з правами адміністратора. Обидва сценарії видаляють шкідливе розширення, механізми постійної присутності, запущені процеси тунелю та ключ SSH зловмисника. Якщо після цього щось залишається, сценарії завершуються з ненульовим кодом.

Серед опублікованих індикаторів компрометації — SHA-256-хеші модифікованих пакетів VSIX для darwin-arm64 і win32-x64, а також модифікований extension.js файл у папці розширення версії 2.1.313 для macOS або Windows, що містить рядки 134.209.82.225 і svc-telemetry. Мережеві індикатори включають адресу зловмисника 134.209.82.225, адресу зворотного SSH-з’єднання tunnel@134.209.82.225 на TCP-порті 22, зовнішній маячок за тією самою адресою на порту 8099 і спробу підключення маячка до петльового інтерфейсу за адресою 127.0.0.1:8099. Cursor також навела несанкціонований відкритий ключ ssh-ed25519 з відбитком SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, відбиток ключа зворотного тунелю, шляхи до файлів для закріплення в системі в macOS і Windows, зокрема LaunchAgent із назвою com.apple.sysmond, заплановане завдання з назвою SysMon, а також резервний сценарій у папці автозавантаження з назвою sysmon.cmd — і індикатори командного рядка, зокрема ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, а також Add-WindowsCapability команда для встановлення компонента сервера OpenSSH.

У Cursor зазначили, що запити корисного навантаження для визначення публічної IP-адреси надсилаються до ifconfig.me та api.ipify.org — легітимних сервісів, — і що сам по собі доступ до них не є індикатором. Компанія скерувала запитання до security@cursor.com.