Доверенное имя скрывало отравленную загрузку
Отравленное расширение Claude Code, распространяемое через маркетплейс Cursor, а не через официальные каналы Anthropic, поставило под угрозу до 5000 пользователей. Это не было взломом Anthropic; скорее, злоумышленник использовал магазин Cursor для продвижения скомпрометированных сборок.
Вредоносный листинг появился под именем Anthropic, нацелившись на пользователей Mac и Windows. Этот обманчивый брендинг создал ложное чувство легитимности, убедив пользователей в том, что они скачивают официальный релиз.
Скомпрометированное расширение было доступно примерно 11 часов 29 октября 2026 года, с 02:27 до 13:35 по тихоокеанскому летнему времени (PDT). В этот период, по оценкам Cursor, до 5000 разработчиков могли столкнуться с бэкдором.
Злоумышленник внедрил немедленно вызываемое функциональное выражение (IIFE) в extension.js, что означает, что полезная нагрузка срабатывала при загрузке — интерактивная команда не требовалась. Она похищала базовую телеметрию хоста: публичные IP-адреса, имена пользователей и адреса электронной почты из конфигурации Git.
Что особенно важно, бэкдор внедрил контролируемый злоумышленником публичный SSH-ключ в файл authorized_keys. Он также запланировал повторяющиеся задачи для открытия исходящего обратного SSH-туннеля к серверу злоумышленника каждую минуту, даже если Cursor был перезапущен. Хотя недостатки реализации полезной нагрузки минимизировали частоту выполнения на непривилегированных машинах, угроза была реальной и постоянной.
Расширение открыло дверь за пределы редактора
Скомпрометированное расширение не бездействовало, активируясь сразу после загрузки. Оно выполняло системные вызовы Node.js, что означает, что пользователям даже не нужно было вызывать команду Claude Code для срабатывания полезной нагрузки. Этот бэкдор быстро собирал конфиденциальную информацию: публичные IP-адреса пользователей, имена пользователей и адреса электронной почты Git.
Помимо кражи данных, полезная нагрузка добавляла контролируемый злоумышленником публичный SSH-ключ в authorized_keys. Затем она настойчиво пыталась установить исходящий обратный SSH-туннель к серверу злоумышленника (134.209.82[.]225), повторяя попытки каждые 60 секунд. Эта настойчивость была создана для выживания после перезагрузки системы, что является явным признаком сложной атаки.
К счастью, недостатки реализации часто блокировали самый опасный аспект атаки: обратный туннель. Microsoft Threat Intelligence и Sophos сообщили, что включение службы SSH часто не удавалось, если Cursor не запускался с правами администратора. Командный сервер (C2) злоумышленника также был быстро нейтрализован, что ограничило дальнейший ущерб.
Несмотря на эти сбои, риск не был полностью устранен. Внедренные SSH-ключи и запланированные скрипты для обеспечения постоянства могли оставить локальные артефакты на затронутых машинах. Пользователи, скачавшие троянизированные сборки v2.1.312 или v2.1.313 в период с 29 октября 2026 года до удаления расширения, столкнулись с потенциальной компрометацией, даже если туннель так и не установил полное соединение.
Почему удаление может оставить опасность позади
Удаление скомпрометированного расширения Claude Code из Cursor создает ложное чувство безопасности. Бэкдор был разработан для постоянства, что означает, что простое удаление видимого расширения не очищает машину. Вредоносные артефакты, включая запланированные задачи (cron-задания, файлы plist или запланированные задачи Windows) и несанкционированные записи в файле authorized_keys, остаются внедренными.
Злоумышленники добавили свой публичный SSH-ключ в файл authorized_keys пользователей, закрепившись в системе. Полезная нагрузка также создала задачу для регулярных попыток открытия исходящего SSH-туннеля (reverse tunnel) каждые 60 секунд. Это обеспечивает постоянный доступ даже после удаления расширения, оставляя скрытую «черную дверь».
Для эффективного снижения рисков пострадавшим пользователям необходимо ознакомиться с официальным отчетом об инциденте от Cursor и воспользоваться предоставленным ими скриптом для обнаружения. Этот скрипт помогает выявить и удалить внедренные SSH-ключи и механизмы закрепления. Для более глубокого технического анализа механики атаки ознакомьтесь с материалом Microsoft: Inside a malicious Claude Code-branded extension and its persistent SSH backdoor | Microsoft Security Blog.
Важнейшие следующие шаги включают проактивные меры безопасности. Смените все пароли, SSH-ключи и другие потенциально скомпрометированные секретные данные. Выполняйте эти действия с отдельного доверенного устройства, чтобы предотвратить дальнейший взлом. Хотя C2-сервер злоумышленника был нейтрализован, а ошибки реализации ограничили успех обратного туннеля на непривилегированных машинах, угроза использования внедренных учетных данных и утечки базовой телеметрии хоста сохраняется.
Нравится статья? Получайте такие каждое утро на почту.
одно письмо в день · отписка в два клика · без сторонних трекеров
Взлом обнажил проблему доверия к маркетплейсам
Cursor отреагировал оперативно: компания удалила вредоносное расширение, закрыла свой магазин, сменила все производственные ключи и перестроила всю инфраструктуру, в конечном итоге выпустив исправленную версию v2.1.314. Эти решительные действия устранили непосредственную угрозу, но доверие уже было подорвано.
Anthropic подтвердила, что их системы не были затронуты; официальные дистрибутивы Claude Code на Microsoft VS Code Marketplace, Open VSX и npm остались в безопасности. Это прояснило масштаб инцидента, ограничив компрометацию только проприетарным маркетплейсом Cursor и его специфической моделью безопасности.
Основная уязвимость остается: как злоумышленник получил доступ к публикации в магазине Cursor для распространения троянизированных сборок v2.1.312 и v2.1.313? Этот вопрос без ответа обнажает критический пробел в доверии к маркетплейсам сторонних редакторов.
Инцидент подчеркивает острую необходимость в надежной верификации издателей, обязательной подписи пакетов и строгом контроле безопасности на любой платформе, размещающей инструменты для разработчиков. Без этого каждый маркетплейс становится потенциальным вектором для атак на цепочку поставок, превращая доверенные расширения в «черный ход» для 5000 разработчиков.
Часто задаваемые вопросы
Какие пользователи могли пострадать от инцидента с расширением Cursor?
Пользователи Cursor, которые установили или автоматически обновили скомпрометированное расширение Claude Code в течение примерно 11-часового окна его доступности, могли подвергнуться риску. По оценкам, пострадало до 5000 пользователей.
Были ли скомпрометированы официальные релизы Claude Code от Anthropic?
Нет. Anthropic заявила, что их системы не были скомпрометированы, а официальные релизы на Microsoft Visual Studio Marketplace, Open VSX и npm не пострадали.
Достаточно ли удаления расширения для устранения «черного хода»?
Не обязательно. Механизмы закрепления и несанкционированный SSH-ключ могут остаться после удаления, поэтому пострадавшим пользователям следует выполнить инструкции Cursor по обнаружению и проверить свои системы.
Что в первую очередь должны сделать потенциально пострадавшие разработчики?
Использовать отдельное доверенное устройство для ознакомления с руководством по очистке от Cursor, удалить несанкционированный доступ и сменить скомпрометированные учетные данные и ключи.