Ing. Calogero Bono
Jeudi, une version altérée de l'extension Claude Code pour Visual Studio Code est restée pendant environ 11 heures sur la marketplace de Cursor. Elle contient une backdoor SSH conçue pour Windows, macOS et Linux. Selon Cursor, elle a touché au maximum 5 000 utilisateurs. C'est important, car l'extension fonctionne avec les permissions de l'environnement de développement, elle peut donc accéder aux fichiers locaux et au code source. Nous en parlions déjà dans notre premier compte rendu.
Quelques termes avant d'entrer dans les faits. Backdoor est une porte dérobée qui permet à un attaquant de revenir dans un ordinateur. SSH est un protocole permettant de contrôler un ordinateur à distance. Le reverse SSH tunnel est une connexion ouverte depuis l'ordinateur de la victime vers l'attaquant. Supply chain désigne une attaque passant par un fournisseur ou un canal de distribution de confiance. EDR est un logiciel qui détecte les comportements anormaux sur les appareils professionnels.
Que s'est-il passé sur Cursor ?
Selon Wired, Cursor, propriété de SpaceX, a hébergé pendant environ 11 heures une extension Claude Code malveillante. L'entreprise parle de téléchargements par « au maximum 5 000 utilisateurs » et a fermé la marketplace pendant un certain temps.
Pour The Register, la version 2.1.313 a été téléchargeable entre 02h27 et 13h35 heure du Pacifique jeudi, soit de 09h27 à 20h35 UTC. Elle a été découverte par Phorion, un fournisseur d'EDR, après l'avoir détectée sur le Mac d'un client.
Que fait la backdoor ?
Selon Ars Technica, Cursor indique que le code tente d'installer une backdoor SSH persistante. Il ajoute une clé SSH de l'attaquant, active le service SSH local et ouvre un tunnel inverse.
Les analyses des fournisseurs, rapportées par The Register, montrent aussi la collecte de noms d'utilisateur, d'adresses e-mail Git configurées et d'adresses IP publiques. Ces données sont envoyées à l'attaquant.
Comme les extensions de Cursor travaillent avec les permissions de l'environnement de développement, la version infectée aurait probablement accès aux fichiers locaux, au code source et aux outils de développement.
Pourquoi les dégâts ont-ils été limités ?
Le malware avait un défaut. Le script qui ouvre le tunnel SSH exigeait des droits administrateur sur macOS et Windows et, dans la grande majorité des cas, ne les avait pas, il échouait donc. Wired parle d'un coup de chance.
Calum Hall de Phorion a déclaré que « tout le monde a eu beaucoup de chance, cela aurait pu être un point d'appui vraiment dangereux pour un attaquant ».
Ce défaut ne supprime pas pour autant le risque. L'extension envoie quand même les données collectées, laisse la clé de l'attaquant et installe le mécanisme de persistance.
Qui est responsable ?
Anthropic nie toute compromission. Felix Rieseberg, de son équipe technique, a écrit qu'un malveillant avait utilisé l'accès à la marketplace de Cursor pour publier une copie altérée, et que les versions disponibles sur les canaux officiels ne sont pas concernées. D'autres éléments sur cette affaire figurent dans notre article sur Claude Code 2.1.314.
Les premières reconstitutions étaient différentes. Ars Technica écrit que la 2.1.313 serait passée par le compte officiel d'Anthropic sur Cursor. Cursor, selon Wired, a déclaré que les versions malveillantes n'ont pas été développées par Anthropic. Comment l'attaquant a obtenu l'accès reste non expliqué.
Limites à connaître
On ne sait pas comment le paquet est arrivé sur la marketplace. Cursor n'a pas expliqué s'il y a eu une faille interne et n'a pas répondu à Wired. Le chiffre de 5 000 utilisateurs est un maximum déclaré par l'entreprise, non vérifié de manière indépendante. Les sources divergent aussi sur la durée, environ 11 heures pour Cursor et près de 12 pour Ars Technica. Nous ne savons pas s'il y a eu des accès réussis.
Ce qui change pour ceux qui travaillent dans le numérique
Si tu as utilisé Cursor jeudi, vérifie la version installée de l'extension. Mettre à jour ne suffit pas, car la version corrigée ne supprime pas le mécanisme de persistance. Utilise les étapes et les scripts de nettoyage publiés par Cursor et recherche des clés SSH inconnues. Ceux qui gèrent des serveurs ou des dépôts accessibles depuis le portable devraient renouveler leurs identifiants et leurs clés. Ce cas montre le poids des fournisseurs dans le flux de travail, un sujet que nous abordons dans le guide sur le registre des fournisseurs NIS2.
Notre avis
Le fait que l'attaque ait échoué presque partout relève de la chance, pas d'une défense. Une marketplace d'extensions à mise à jour automatique par défaut est un canal privilégié vers les machines des développeurs, et doit être traitée comme tel. Anthropic a raison de préciser que ses systèmes ne sont pas en cause, mais pour l'utilisateur la distinction pèse peu, puisque c'est le nom de l'éditeur qui figurait sur l'extension. Il faut de la transparence de la part de Cursor sur la manière dont l'accès a été obtenu.
Questions fréquentes
Qui a été touché par l'extension Claude Code infectée ?
Seuls ceux qui utilisent Cursor et ont installé la version 2.1.313. Selon Anthropic, les versions disponibles sur ses canaux officiels ne sont pas concernées. Cursor estime à 5 000 au maximum le nombre de personnes touchées.
Pendant combien de temps la version malveillante est-elle restée disponible ?
Environ 11 heures, selon Cursor et The Register. Elle était téléchargeable jeudi entre 09h27 et 20h35 UTC. Ars Technica parle de presque 12 heures.
Suffit-il de mettre à jour l'extension pour être en sécurité ?
Non. Installer la dernière version ne supprime pas le mécanisme de persistance laissé par le malware. Il faut suivre les étapes de nettoyage et les scripts indiqués par Cursor.
Anthropic a-t-elle été piratée ?
Selon Anthropic, non. Felix Rieseberg et Dworken affirment qu'aucun de ses systèmes ni les portables de ses employés n'ont été compromis. Un malveillant aurait utilisé l'accès à la marketplace de Cursor.
Qu'a fait Cursor après l'incident ?
Elle a retiré la version malveillante, fermé la marketplace par précaution et contrôlé les autres extensions. Elle a aussi renouvelé ses propres clés et, avec un fournisseur cloud, bloqué la connexion au serveur de l'attaquant.
Ce qu'il faut attendre de Cursor et Anthropic dans les prochaines semaines
L'élément manquant est la cause. Tant que Cursor n'explique pas comment l'attaquant est entré, le risque pour les autres marketplaces reste ouvert.
- Suis l'éventuel rapport de Cursor sur la cause de l'accès et sur l'usage des clés renouvelées.
- Vérifie si Anthropic communique directement avec ses clients, puisqu'elle ne l'avait pas fait jusqu'ici.
- Envisage de désactiver la mise à jour automatique des extensions dans les paramètres de l'éditeur.
