🖥В магазине расширений Cursor обнаружили вредоносную версию плагина 🤖Claude Code с SSH-бэкдором
D официальном каталоге Cursor Extension Marketplace распространялась вредоносная сборка расширения
Anthropic.claude-code версии 2.1.313, затронувшая до 5000 пользователей. Команда Cursor уточнила, что модифицированный пакет не создавался компанией Anthropic, признаков компрометации официального дистрибутива и других версий плагина не обнаружено, а проверка остальных расширений каталога не выявила посторонних изменений.Злоумышленники внедрили вредоносный код в файл
extension.js внутри пакетов для macOS (darwin-arm64) и Windows (win32-x64). Скрипт отправлял данные о системе (имя пользователя, ОС, рабочие пути, почту из Git, имена переменных окружения и IP-адрес) на сервер hxxp://134[.]209[.]82[.]225:8099/beacon, добавлял открытый SSH-ключ с меткой svc-telemetry в authorized_keys, настраивал повторные попытки подключения обратного SSH-туннеля примерно каждые 60 секунд через механизмы закрепления (com.apple.sysmond.plist на macOS и задачу SysMon на Windows) и пытался включить локальную службу SSH. Однако на устройствах, где редактор не имел прав администратора, эта операция завершалась ошибкой.«На таких устройствах этот шаг завершается ошибкой, поэтому злоумышленник не смог бы войти в систему через туннель. Тем не менее расширение всё равно добавляет SSH-ключ атакующего, устанавливает механизмы закрепления в системе и отправляет сведения об узле злоумышленнику»
— говорится в уведомлении команды Cursor.
Разработчики удалили вредоносную версию, перезапустили маркетплейс с ротацией собственных ключей и совместно с провайдером отключили сервер атакующих. Пользователям рекомендовано обновиться до версии 2.1.314, проверить
authorized_keys на наличие метки svc-telemetry, а при обнаружении следов компрометации изолировать хост, удалить автономные скрипты закрепления официальными утилитами (remediate-macos.sh или remediate-windows.ps1) и сменить доступные с затронутого устройства учётные данные с доверенного устройства.✋ @Russian_OSINT