Ing. Calogero Bono
Donderdag bleef een gemanipuleerde versie van de Claude Code-extensie voor Visual Studio Code ongeveer 11 uur staan in de marketplace van Cursor. Ze bevat een SSH-backdoor die is bedoeld voor Windows, macOS en Linux. Volgens Cursor heeft die hooguit 5.000 gebruikers getroffen. Dat is belangrijk omdat de extensie draait met de rechten van je ontwikkelomgeving, dus ze kan bij lokale bestanden en broncode komen. We schreven hier al over in ons eerste verslag.
Een paar termen, voordat we de feiten induiken. Backdoor is een verborgen toegangspoort waarmee een aanvaller opnieuw in een computer kan binnendringen. SSH is een protocol om een computer op afstand te beheren. De reverse SSH tunnel is een verbinding die vanaf de computer van het slachtoffer naar de aanvaller wordt geopend. Supply chain duidt een aanval aan die via een vertrouwde leverancier of distributiekanaal verloopt. EDR is software die afwijkend gedrag op bedrijfsapparaten opspoort.
Wat is er op Cursor gebeurd?
Volgens Wired heeft Cursor, eigendom van SpaceX, ongeveer 11 uur lang een kwaadaardige Claude Code-extensie gehost. Het bedrijf spreekt van downloads door «hooguit 5.000 gebruikers» en heeft de marketplace voor een tijd gesloten.
Volgens The Register was versie 2.1.313 downloadbaar tussen 02.27 en 13.35 Pacifische tijd op donderdag, dus van 09.27 tot 20.35 UTC. Ontdekt door Phorion, een EDR-leverancier, nadat het was gedetecteerd op de Mac van een klant.
Wat doet de backdoor?
Volgens Ars Technica meldt Cursor dat de code probeert een persistente SSH-backdoor te installeren. Ze voegt een SSH-sleutel van de aanvaller toe, schakelt de lokale SSH-service in en opent een omgekeerde tunnel.
Analyses van leveranciers, gerapporteerd door The Register, tonen ook dat gebruikersnamen, geconfigureerde Git-e-mailadressen en publieke IP-adressen worden verzameld. Die gegevens worden naar de aanvaller gestuurd.
Omdat de extensies van Cursor werken met de rechten van de ontwikkelomgeving, zou de geïnfecteerde versie waarschijnlijk toegang hebben tot lokale bestanden, broncode en ontwikkeltools.
Waarom was de schade beperkt?
De malware had een gebrek. Het script dat de SSH-tunnel opende vereiste beheerdersrechten op macOS en Windows en had die in de overgrote meerderheid van de gevallen niet, dus het mislukte. Wired noemt het een meevaller.
Calum Hall van Phorion zei dat «iedereen erg geluk heeft gehad, dit had een echt gevaarlijk aanknopingspunt voor een aanvaller kunnen zijn».
Het gebrek neemt het risico echter niet weg. De extensie stuurt toch de verzamelde gegevens door, laat de sleutel van de aanvaller achter en installeert het persistentiemechanisme.
Wie is verantwoordelijk?
Anthropic ontkent elke compromittering. Felix Rieseberg, van zijn technische staf, schreef dat een kwaadwillende de toegang tot de marketplace van Cursor heeft gebruikt om een gewijzigde kopie te publiceren, en dat de versies op de officiële kanalen niet getroffen zijn. Meer over deze zaak staat in ons artikel over Claude Code 2.1.314.
De eerste reconstructies waren anders. Ars Technica schrijft dat 2.1.313 via het officiële Anthropic-account op Cursor zou zijn terechtgekomen. Cursor heeft volgens Wired verklaard dat de kwaadaardige versies niet door Anthropic zijn ontwikkeld. Hoe de aanvaller toegang kreeg, blijft onverklaard.
Beperkingen om te kennen
Het is niet duidelijk hoe het pakket in de marketplace terechtkwam. Cursor heeft niet uitgelegd of er een interne inbreuk was en heeft niet gereageerd op Wired. Het getal van 5.000 gebruikers is een maximum dat het bedrijf zelf opgeeft, geen onafhankelijk geverifieerd cijfer. De bronnen verschillen ook over de duur – ongeveer 11 uur volgens Cursor en bijna 12 uur volgens Ars Technica. We weten niet of er geslaagde toegang is geweest.
Wat verandert er voor wie met digitale techniek werkt
Als je Cursor donderdag hebt gebruikt, controleer dan welke versie van de extensie je hebt geïnstalleerd. Updaten is niet genoeg, omdat de gecorrigeerde versie het persistentiemechanisme niet verwijdert. Volg de opschoonstappen en scripts die Cursor heeft gepubliceerd en zoek naar onbekende SSH-sleutels. Wie servers of repositories beheert met toegang vanaf de laptop, moet credentials en sleutels roteren. De zaak laat zien hoe zwaar leveranciers in de workflow wegen, een thema dat we behandelen in de gids over het NIS2-leveranciersregister.
Ons standpunt
Dat de aanval bijna overal mislukte, is geluk en geen verdediging. Een extensiemarketplace met standaard automatische updates is een bevoorrechte route naar de machines van ontwikkelaars, en moet ook zo behandeld worden. Anthropic heeft gelijk dat zijn systemen er part noch deel aan hebben, maar voor de gebruiker maakt dat weinig uit, want de naam op de extensie was die van Anthropic. Er is transparantie nodig van Cursor over hoe de toegang is verkregen.
Veelgestelde vragen
Wie is getroffen door de geïnfecteerde Claude Code-extensie?
Alleen wie Cursor gebruikt en versie 2.1.313 heeft geïnstalleerd. Volgens Anthropic zijn de versies op zijn officiële kanalen niet getroffen. Cursor schat hooguit 5.000 gebruikers.
Hoelang was de kwaadaardige versie beschikbaar?
Ongeveer 11 uur, volgens Cursor en The Register. Ze was donderdag downloadbaar tussen 09.27 en 20.35 UTC. Ars Technica spreekt van bijna 12 uur.
Ben je veilig als je de extensie alleen update?
Nee. Het installeren van de nieuwste versie verwijdert het persistentiemechanisme dat de malware heeft achtergelaten niet. Je hebt de opschoonstappen en scripts van Cursor nodig.
Is Anthropic gehackt?
Volgens Anthropic niet. Rieseberg en Dworken stellen dat er geen compromittering is geweest van zijn systemen of van laptops van medewerkers. Een kwaadwillende zou toegang tot de marketplace van Cursor hebben gebruikt.
Wat heeft Cursor gedaan na het incident?
Het heeft de kwaadaardige versie verwijderd, de marketplace voor de zekerheid gesloten en de andere extensies gecontroleerd. Ook heeft het zijn eigen sleutels geroteerd en, samen met een cloudprovider, de verbinding met de server van de aanvaller geblokkeerd.
Wat je de komende weken van Cursor en Anthropic kunt verwachten
Het ontbrekende stuk is de oorzaak. Zolang Cursor niet uitlegt hoe de aanvaller binnenkwam, blijft het risico voor andere marketplaces open.
- Volg een eventueel rapport van Cursor over de oorzaak van de toegang en het gebruik van de geroteerde sleutels.
- Let erop of Anthropic klanten rechtstreeks informeert, want tot nu toe heeft het dat niet gedaan.
- Overweeg de automatische update van extensies in de instellingen van je editor uit te schakelen.
