Ing. Calogero Bono
В четверг поддельная версия расширения Claude Code для Visual Studio Code около 11 часов висела в маркетплейсе Cursor. Внутри SSH-бэкдор, рассчитанный на Windows, macOS и Linux. По словам Cursor, его скачали не более 5 000 пользователей. Это важно, потому что расширение работает с правами среды разработки и может получить доступ к локальным файлам и исходному коду. Мы уже писали об этом в нашем первом материале.
Несколько терминов, прежде чем перейти к фактам. Бэкдор — это скрытый служебный вход, который позволяет злоумышленнику вернуться в компьютер. SSH — протокол для удаленного управления компьютером. Обратный SSH-туннель — соединение, которое открывает компьютер жертвы в сторону атакующего. Supply chain — атака, которая идет через доверенного поставщика или канал распространения. EDR — программа, которая выявляет подозрительное поведение на корпоративных устройствах.
Что произошло в Cursor?
По данным Wired, Cursor, принадлежащий SpaceX, около 11 часов размещал вредоносное расширение Claude Code. Компания говорит о скачиваниях «не более 5 000 пользователей» и на время закрыла маркетплейс.
По данным The Register, версия 2.1.313 была доступна для скачивания с 02:27 до 13:35 по Тихоокеанскому времени в четверг, то есть с 09:27 до 20:35 UTC. Обнаружила ее Phorion, поставщик EDR, заметив на Mac одного клиента.
Что делает бэкдор?
По данным Ars Technica, Cursor сообщает, что код пытается установить постоянный SSH-бэкдор. Он добавляет SSH-ключ злоумышленника, включает локальную службу SSH и открывает обратный туннель.
Анализ поставщиков, о котором пишет The Register, показывает также сбор имен пользователей, настроенных адресов Git и публичных IP-адресов. Эти данные отправляются злоумышленнику.
Поскольку расширения Cursor работают с правами среды разработки, зараженная версия, вероятно, имела доступ к локальным файлам, исходному коду и инструментам разработки.
Почему ущерб оказался ограниченным?
У вредоноса был изъян. Скрипт, открывающий SSH-туннель, требовал прав администратора в macOS и Windows, и в подавляющем большинстве случаев их не было, поэтому он падал. Wired называет это удачей.
Калум Холл из Phorion сказал «Всем очень повезло, это могла быть действительно опасная точка опоры для атакующего».
Однако изъян не снимает риск полностью. Расширение все равно отправляет собранные данные, оставляет ключ злоумышленника и устанавливает механизм закрепления.
Кто несет ответственность?
Anthropic отрицает какую-либо компрометацию. Феликс Райзберг из ее технической команды написал, что злоумышленник использовал доступ к маркетплейсу Cursor, чтобы опубликовать подмененную копию, и что версии в официальных каналах не затронуты. Другие подробности об этом случае есть в нашем материале о Claude Code 2.1.314.
Первые реконструкции отличались. Ars Technica пишет, что версия 2.1.313 якобы публиковалась с официального аккаунта Anthropic в Cursor. По словам Wired, Cursor заявил, что вредоносные версии не разрабатывались Anthropic. Как злоумышленник получил доступ, по-прежнему не объяснено.
Ограничения, которые стоит учитывать
Неизвестно, как пакет попал в маркетплейс. Cursor не объяснил, была ли внутренняя утечка, и не ответил Wired. Цифра в 5 000 пользователей — это максимум, названный самой компанией, а не независимо проверенная величина. Источники расходятся и по длительности – около 11 часов по данным Cursor и почти 12 по Ars Technica. Неясно, были ли успешные заражения.
Что это меняет для тех, кто работает с цифровыми технологиями
Если ты пользовался Cursor в четверг, проверь установленную версию расширения. Одного обновления недостаточно, потому что исправленная версия не удаляет механизм закрепления. Используй шаги и скрипты очистки, которые опубликовал Cursor, и ищи незнакомые SSH-ключи. Тем, кто управляет серверами или репозиториями с доступом с ноутбука, стоит сменить учетные данные и ключи. Этот случай показывает, какую роль играют поставщики в рабочем процессе, и мы разбираем эту тему в руководстве по реестру поставщиков NIS2.
Наше мнение
То, что атака почти нигде не сработала, — это везение, а не защита. Маркетплейс расширений с автообновлением по умолчанию — привилегированный канал доступа к машинам разработчиков, и относиться к нему нужно соответственно. Anthropic прав, что его системы тут ни при чем, но для пользователя это различие мало что значит, ведь на расширении стояло именно его имя. Нужна прозрачность от Cursor – как именно был получен доступ.
Часто задаваемые вопросы
Кто пострадал от поддельного расширения Claude Code?
Только те, кто пользуется Cursor и установил версию 2.1.313. По словам Anthropic, версии в ее официальных каналах не затронуты. Cursor оценивает число пользователей максимум в 5 000.
Как долго была доступна вредоносная версия?
Около 11 часов, по данным Cursor и The Register. Скачать ее было можно в четверг с 09:27 до 20:35 UTC. Ars Technica говорит почти о 12 часах.
Достаточно ли обновить расширение, чтобы быть в безопасности?
Нет. Установка последней версии не удаляет механизм закрепления, оставленный вредоносом. Нужны шаги очистки и скрипты, указанные Cursor.
Взломали ли Anthropic?
По словам Anthropic, нет. Райзберг и Дуоркен утверждают, что их системы и ноутбуки сотрудников не компрометировались. Злоумышленник, по их версии, использовал доступ к маркетплейсу Cursor.
Что сделал Cursor после инцидента?
Удалил вредоносную версию, на время закрыл маркетплейс и проверил остальные расширения. Также сменил собственные ключи и, с помощью облачного провайдера, заблокировал соединение с сервером атакующего.
Чего ждать от Cursor и Anthropic в ближайшие недели
Недостающая часть — причина. Пока Cursor не объяснит, как злоумышленник проник, риск для других маркетплейсов остается открытым.
- Следи за возможным отчетом Cursor о причине доступа и о том, как используются сменные ключи.
- Проверь, сообщит ли Anthropic клиентам напрямую, ведь до сих пор он этого не делал.
- Подумай, стоит ли отключить автоматическое обновление расширений в настройках редактора.
