Ing. Calogero Bono
木曜日、Visual Studio Code向けClaude Code拡張機能の改ざん版が、Cursorのマーケットプレイスに約11時間置かれていました。Windows、macOS、Linux向けのSSHバックドアが含まれていました。Cursorによると、被害は最大5,000ユーザーです。この拡張機能は開発環境の権限で動作するため、ローカルファイルやソースコードにアクセスできてしまう点が重要です。以前の記事でも最初の報道を取り上げています。
事実に入る前に、いくつかの用語を確認しておきます。 バックドアとは、攻撃者がコンピュータに再侵入するために仕込まれた隠しの裏口です。SSHは、コンピュータをリモートから操作するためのプロトコルです。リバースSSHトンネルは、被害者のコンピュータから攻撃者へ向けて開かれる接続です。サプライチェーン攻撃は、信頼された供給元や配布経路を経由して行われる攻撃を指します。EDRは、企業の端末で異常な動作を検出するソフトウェアです。
Cursorで何が起きたのか？
Wiredによると、SpaceXが所有するCursorは、約11時間にわたり悪意のあるClaude Code拡張機能を配布していました。同社は「最大5,000ユーザー」がダウンロードしたと説明し、一時的にマーケットプレイスを閉鎖しました。
The Registerによると、バージョン2.1.313は木曜日の太平洋時間2時27分から13時35分、UTCでは9時27分から20時35分までダウンロード可能でした。EDRベンダーのPhorionが、ある顧客のMac上で検出して発覚しました。
バックドアは何をするのか？
Ars Technicaによると、Cursorは、このコードが永続的なSSHバックドアを設置しようとしていると報告しています。攻撃者のSSH鍵を追加し、ローカルのSSHサービスを有効化し、リバーストンネルを開きます。
The Registerが伝えるベンダーの分析によれば、ユーザー名、設定されたGitのメールアドレス、公開IPアドレスの収集も行われ、これらのデータは攻撃者に送信されていました。
Cursorの拡張機能は開発環境の権限で動作するため、感染したバージョンは、ローカルファイル、ソースコード、開発ツールに届く可能性が高いと考えられます。
なぜ被害は限定的だったのか？
マルウェアには欠陥がありました。SSHトンネルを開くスクリプトは、macOSとWindowsで管理者権限を必要としましたが、大多数のケースでその権限がなく、失敗していました。Wiredはこれを幸運だったと評しています。
Phorionのa Calum Hall氏は、「誰もが本当に幸運でした。これは攻撃者にとって非常に危険な足がかりになり得ました」と述べています。
ただし、この欠陥でリスクがなくなったわけではありません。拡張機能は収集したデータを送信し、攻撃者の鍵を残し、永続化の仕組みも設置していました。
責任はどこにあるのか？
Anthropicは侵害を否定しています。技術スタッフのFelix Rieseberg氏は、攻撃者がCursorのマーケットプレイスへのアクセスを利用して改ざんされたコピーを公開したこと、公式チャネルのバージョンは影響を受けていないことを書いています。この件については、Claude Code 2.1.314の記事でも触れています。
初期の報道は食い違っていました。Ars Technicaは、2.1.313がAnthropicの公式Cursorアカウントから公開されたと書いています。一方でWiredによると、Cursorは悪意のあるバージョンをAnthropicが開発したものではないと発表しています。攻撃者がどのようにアクセスを得たのかは、いまだ説明されていません。
注意すべき制約
この不正パッケージがどのようにマーケットプレイスに掲載されたのかは明らかではありません。Cursorは社内での侵害があったかどうかを説明しておらず、Wiredの取材にも回答していません。5,000ユーザーという数字は同社が公表した上限値であり、第三者による独自の検証はされていません。配布期間についても、Cursorは約11時間、Ars Technicaは約12時間近くと報じており、情報源によって差があります。攻撃が成功した事例があったかどうかも分かっていません。
デジタル業務に携わる人にとっての変化
木曜日にCursorを使ったなら、インストールされている拡張機能のバージョンを確認してください。単に更新するだけでは不十分です。修正版では、マルウェアが残した永続化の仕組みは取り除かれないためです。Cursorが公開している手順と修復スクリプトを使い、身に覚えのないSSH鍵がないか確認してください。ノートパソコンからサーバーやリポジトリにアクセスしている人は、認証情報と鍵をローテーションすべきです。今回の件は、ワークフローにおけるサプライヤーの重要性を示しています。この点はNIS2のサプライヤー登録簿のガイドでも扱っています。
私たちの見解
攻撃がほぼどこでも失敗したのは防御の成果ではなく、幸運によるものです。自動更新がデフォルトのマーケットプレイスは、開発者のマシンへの特権的な経路であり、そのように扱うべきです。Anthropicが自社システムは関係ないと明言したのは妥当ですが、拡張機能に自社の名前が付いていた以上、利用者にとって両者の区別はあまり意味を持ちません。Cursorには、攻撃者がどのようにアクセスを得たのかについて透明性のある説明が求められます。
よくある質問
Claude Codeの感染した拡張機能の被害者は誰ですか？
Cursorを使い、バージョン2.1.313をインストールした人だけです。Anthropicによると、同社の公式チャネルのバージョンは影響を受けていません。Cursorは被害を最大5,000ユーザーと見積もっています。
悪意のあるバージョンはどのくらいの期間公開されていましたか？
Cursorと The Registerによると約11時間です。木曜日の太平洋時間2時27分から13時35分、UTCでは9時27分から20時35分まで、ダウンロード可能でした。Ars Technicaは12時間近くとしています。
拡張機能を更新すれば安全になりますか？
いいえ。最新版をインストールしても、マルウェアが残した永続化の仕組みは取り除かれません。Cursorが案内する修復手順とスクリプトが必要です。
Anthropicはハッキングされたのですか？
Anthropicによると、そうではありません。Rieseberg氏とDworken氏は、同社のシステムや従業員のノートパソコンが侵害されたことはないと述べています。攻撃者はCursorのマーケットプレイスへのアクセスを利用したとされています。
事件後、Cursorはどのような対応をしましたか？
悪意のあるバージョンを削除し、念のためマーケットプレイスを閉鎖し、他の拡張機能も点検しました。自社の鍵もローテーションし、クラウドプロバイダーと協力して攻撃者のサーバーへの接続を遮断したとのことです。
CursorとAnthropicから今後数週間で期待されること
欠けているのは原因の説明です。Cursorが攻撃者の侵入経路を明らかにしない限り、他のマーケットプレイスにもリスクが残ったままです。
- Cursorがアクセスの原因や、ローテーションした鍵の使用状況について報告するかどうか注目してください。
- Anthropicがこれまで行っていなかった、顧客への直接の案内を行うかを確認してください。
- エディタの設定で拡張機能の自動更新を無効にすることを検討してください。
