Kapret Claude Code-utvidelse i Cursors markedsplass plantet SSH-nøkkel hos opptil 5 000 brukere

Cursor bekrefter at en ondsinnet modifisert utgave av Anthropic.claude-code 2.1.313 lå i selskapets VS Code-markedsplass mellom rundt kl. 02.27 og 13.35 Pacific-tid 29. oktober. Ifølge Cursor ble opptil 5 000 brukere rammet, og de skal kontaktes direkte. Sikkerhetsselskapet Phorion og OpenSourceMalware oppdaget pakken og har publisert hver sin tekniske analyse.

«Denne ondsinnede versjonen av utvidelsen ble ikke utviklet av Anthropic.» — Cursor, i sikkerhetsvarselet

Skadekoden er en 66 linjer lang loader limt inn foran den vanlige koden i extension.js, skriver OpenSourceMalware. Den kjører i det øyeblikket editoren laster modulen, før utvidelsens activate-funksjon, så du trenger ikke åpne en eneste Claude-samtale. Loaderen legger en Ed25519-nøkkel med kommentaren svc-telemetry i ~/.ssh/authorized_keys, prøver å slå på lokal SSH og åpner en reverse SSH-tunnel til 134.209.82.225. Persistensen er plattformspesifikk: en LaunchAgent som kaller seg com.apple.sysmond på macOS, en @reboot-linje i crontab på Linux og en planlagt oppgave kalt SysMon på Windows. Til slutt sender den navnene, ikke verdiene, på opptil 40 miljøvariabler som matcher KEY, TOKEN, SECRET, PASS, AWS eller GCP.

Phorion fant en feil som bremser angrepet på Mac. Skriptet kjører systemsetup -getremotelogin uten administratorrettigheter, får en feilmelding i stedet for «Off» og hopper derfor over steget som slår på Remote Login. Cursor skriver at SSH-steget ville feilet med mindre editoren var startet med administratorrettigheter. Nøkkelen, persistensen og rapporten til angriperen kommer likevel på plass.

«Hadde brukeren allerede slått på Remote Login, eller slår det på senere, står bakdøren klar og venter.» — Phorion, i analysen av pakken

Cursor har fjernet versjonen, stengt hele markedsplassen en periode, rotert nøklene sine og fått skyleverandøren til å ta ned angriperens server. Selskapet har ikke funnet tegn til at andre versjoner eller den offisielle distribusjonen er rammet, og OpenSourceMalware skriver at npm-pakken @anthropic-ai/claude-code, OpenVSX-utvidelsen og Microsofts VS Code-utvidelse ikke er ondsinnede. Sikkerhetsforsker Kevin Beaumont mener derimot på DoublePulsar at Anthropic selv ble kompromittert, og påpeker at 2.1.313 også mangler i OpenVSX og Visual Studio Marketplace. Hvem som slapp versjonen inn i Cursors markedsplass, er ikke offentlig avklart.

For deg som kjører kodeagenter med API-nøkler i miljøet, er listen over variabelnavn et kart over hva som er verdt å hente ut senere. Cursor skriver selv at den begrensede innsamlingen ikke utelukker at angriperen har hentet legitimasjon via bakdøren.

Hva bør du gjøre?

1. Kjør Cursors sjekk på macOS: grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted". Windows-varianten for PowerShell står i samme varsel.
2. Finner du nøkkelen, kjør Cursors remediate-macos.sh som vanlig bruker eller remediate-windows.ps1 som administrator, og bekreft at ~/Library/LaunchAgents/com.apple.sysmond.plist, ~/.config/.smt og ~/.config/.smtk er borte. Koden har også en Linux-gren: der fjerner du @reboot-linjen selv og sjekker at de andre cron-jobbene dine fortsatt finnes, siden Phorion fant en feil som kan slette dem.
3. Roter nøkler, tokens og sesjoner brukerkontoen hadde tilgang til, fra en maskin du stoler på, og søk i nettverkslogger etter trafikk til 134.209.82.225 på port 22 og 8099.