Ing. Calogero Bono
Giovedì una versione manomessa dell'estensione Claude Code per Visual Studio Code è rimasta per circa 11 ore nel marketplace di Cursor. Contiene una backdoor SSH pensata per Windows, macOS e Linux. Secondo Cursor ha colpito al massimo 5.000 utenti. Conta perché l'estensione gira con i permessi dell'ambiente di sviluppo, quindi può arrivare a file locali e codice sorgente. Ne parlavamo già nel nostro primo resoconto.
Qualche termine, prima di entrare nei fatti. Backdoor è una porta di servizio nascosta che permette a un attaccante di rientrare in un computer. SSH è un protocollo per controllare un computer da remoto. Il reverse SSH tunnel è un collegamento aperto dal computer della vittima verso l'attaccante. Supply chain indica un attacco che passa da un fornitore o da un canale di distribuzione fidato. EDR è un software che rileva comportamenti anomali sui dispositivi aziendali.
Cosa è successo su Cursor?
Secondo Wired, Cursor, di proprietà di SpaceX, ha ospitato per circa 11 ore un'estensione Claude Code malevola. L'azienda parla di download da parte di «al massimo 5.000 utenti» e ha chiuso per un periodo il marketplace.
Per The Register, la versione 2.1.313 è stata scaricabile tra le 02.27 e le 13.35 del Pacifico di giovedì, cioè dalle 09.27 alle 20.35 UTC. Scoperta da Phorion, un fornitore di EDR, dopo averla rilevata sul Mac di un cliente.
Che cosa fa la backdoor?
Secondo Ars Technica, Cursor riferisce che il codice tenta di installare una backdoor SSH persistente. Aggiunge una chiave SSH dell'attaccante, abilita il servizio SSH locale e apre un tunnel inverso.
Le analisi dei fornitori, riportate da The Register, mostrano anche la raccolta di nomi utente, email Git configurate e indirizzi IP pubblici. Questi dati vengono inviati all'attaccante.
Poiché le estensioni di Cursor lavorano con i permessi dell'ambiente di sviluppo, la versione infetta avrebbe probabilmente accesso a file locali, codice sorgente e strumenti di sviluppo.
Perché il danno è stato limitato?
Il malware aveva un difetto. Lo script che apre il tunnel SSH richiedeva diritti di amministratore su macOS e Windows e nella grande maggioranza dei casi non li aveva, quindi falliva. Wired lo definisce un colpo di fortuna.
Calum Hall di Phorion ha detto che «tutti sono stati molto fortunati, questo poteva essere un punto d'appoggio davvero pericoloso per un attaccante».
Il difetto però non azzera il rischio. L'estensione invia comunque i dati raccolti, lascia la chiave dell'attaccante e installa il meccanismo di persistenza.
Di chi è la responsabilità?
Anthropic nega ogni compromissione. Felix Rieseberg, del suo staff tecnico, ha scritto che un malintenzionato ha usato l'accesso al marketplace di Cursor per pubblicare una copia alterata, e che le versioni sui canali ufficiali non sono interessate. Ci sono altre note su questo caso nel nostro articolo su Claude Code 2.1.314.
Le prime ricostruzioni erano diverse. Ars Technica scrive che la 2.1.313 sarebbe passata dall'account ufficiale di Anthropic su Cursor. Cursor, secondo Wired, ha dichiarato che le versioni malevole non sono state sviluppate da Anthropic. Come l'attaccante abbia ottenuto l'accesso resta non spiegato.
Limiti da conoscere
Non è chiaro come il pacchetto sia arrivato nel marketplace. Cursor non ha spiegato se ci sia stata una violazione interna e non ha risposto a Wired. Il numero di 5.000 utenti è un massimo dichiarato dall'azienda, non una cifra verificata in modo indipendente. Le fonti discordano anche sulla durata, circa 11 ore per Cursor e quasi 12 per Ars Technica. Non sappiamo se ci siano stati accessi riusciti.
Cosa cambia per chi lavora con il digitale
Se hai usato Cursor giovedì, controlla la versione installata dell'estensione. Aggiornare non basta, perché la versione corretta non rimuove il meccanismo di persistenza. Usa i passaggi e gli script di bonifica pubblicati da Cursor e cerca tracce di chiavi SSH sconosciute. Chi gestisce server o repository con accessi dal portatile dovrebbe ruotare credenziali e chiavi. Il caso mostra il peso dei fornitori nel flusso di lavoro, tema che trattiamo nella guida al registro fornitori NIS2.
Il nostro parere
Il fatto che l'attacco sia fallito quasi ovunque è una fortuna, non una difesa. Un marketplace di estensioni con aggiornamento automatico di default è un canale privilegiato verso le macchine degli sviluppatori, e va trattato come tale. Anthropic ha ragione a precisare che i suoi sistemi non c'entrano, ma per l'utente la distinzione conta poco, perché il nome sull'estensione era quello. Serve trasparenza da Cursor su come l'accesso sia stato ottenuto.
Domande frequenti
Chi è stato colpito dall'estensione Claude Code infetta?
Solo chi usa Cursor e ha installato la versione 2.1.313. Secondo Anthropic le versioni sui suoi canali ufficiali non sono interessate. Cursor stima al massimo 5.000 utenti.
Per quanto tempo è stata disponibile la versione malevola?
Circa 11 ore, secondo Cursor e The Register. Era scaricabile giovedì tra le 09.27 e le 20.35 UTC. Ars Technica parla di quasi 12 ore.
Basta aggiornare l'estensione per essere al sicuro?
No. Installare l'ultima versione non elimina il meccanismo di persistenza lasciato dal malware. Servono i passaggi di bonifica e gli script indicati da Cursor.
Anthropic è stata hackerata?
Secondo Anthropic no. Rieseberg e Dworken affermano che non ci sono state compromissioni dei suoi sistemi o dei portatili dei dipendenti. Un malintenzionato avrebbe usato l'accesso al marketplace di Cursor.
Che cosa ha fatto Cursor dopo l'incidente?
Ha rimosso la versione malevola, chiuso il marketplace per precauzione e controllato le altre estensioni. Ha anche ruotato le proprie chiavi e, con un provider cloud, bloccato la connessione al server dell'attaccante.
Cosa aspettarsi da Cursor e Anthropic nelle prossime settimane
La parte mancante è la causa. Finché Cursor non spiega come l'attaccante sia entrato, il rischio per gli altri marketplace resta aperto.
- Segui l'eventuale rapporto di Cursor sulla causa dell'accesso e sull'uso delle chiavi ruotate.
- Verifica se Anthropic comunica direttamente ai clienti, visto che finora non l'aveva fatto.
- Valuta se disattivare l'aggiornamento automatico delle estensioni nelle impostazioni dell'editor.
