Расширение Claude Code с бэкдором в маркетплейсе Cursor затронуло до 5 000 разработчиков
Изменённая версия расширения Claude Code от Anthropic почти 12 часов находилась в маркетплейсе Cursor 29 октября 2026 года и пыталась установить SSH-бэкдор на компьютеры до 5 000 пользователей, которые установили её, сообщила Ars Technica.
Вредоносная версия официального расширения Claude Code от Anthropic распространялась через маркетплейс ИИ-инструмента для разработки Cursor почти 12 часов 29 октября 2026 года, пытаясь установить постоянный SSH-бэкдор на компьютеры до 5 000 пользователей, которые установили заражённую версию, сообщила Ars Technica 30 октября со ссылкой на Cursor и независимых исследователей. The Hacker News отдельно сообщило об этом же инциденте, указав временное окно уязвимости с 2:27 до 13:35 по тихоокеанскому времени 29 октября.
Что произошло
- Скомпрометированный пакет версии 2.1.313 был опубликован под официальной учётной записью Anthropic в маркетплейсе Cursor и «фактически» заменил легитимную версию 2.1.312, рассказал Ars Technica технический директор охранной компании Phorian.
- По данным Cursor, вредоносный код пытался добавить SSH-ключ, контролируемый злоумышленником, включить локальную службу SSH и открыть обратный SSH-туннель; версии кода были написаны для Windows, macOS и Linux, сообщает Ars Technica. По данным Cursor, ошибки в коде вредоносного пакета должны были привести к сбою на этапе добавления SSH-ключа — за исключением случаев, когда Cursor был запущен с правами администратора.
- Бэкдор также собирал информацию о хосте и пользователе — имя хоста, имя пользователя, операционную систему, путь к домашнему каталогу, имена переменных среды, рабочие каталоги, настроенный адрес электронной почты Git и публичный IP-адрес — и передавал её по HTTP, сообщила Ars Technica.
- Anthropic выпустила «чистую» версию 2.1.314 спустя несколько часов после появления вредоносного релиза, по данным независимого исследователя, на которого ссылается Ars Technica.
- Cursor удалила пакет со встроенным бэкдором, временно остановила работу маркетплейса для смены ключей и аудита доступа, а также взаимодействовала с хостинг-провайдером сервера злоумышленника, чтобы отключить заражённые устройства, сообщила Ars Technica.
Почему это важно
Инцидент показывает, что официальные маркетплейсы расширений для ИИ-инструментов разработки — теперь рутинная часть процессов разработки программного обеспечения — могут становиться поверхностью для атак на цепочку поставок: скомпрометированная учётная запись способна достичь тысяч компьютеров разработчиков до того, как это будет замечено. Ars Technica сообщила, что на момент публикации материала ни Cursor, ни Anthropic не объяснили, как злоумышленник получил контроль над дистрибуционной учётной записью Anthropic, и что Anthropic пока не выпустила публичное уведомление для клиентов. Для организаций в любой точке мира, включая Каспийский регион, внедривших ИИ-инструменты для разработки, этот эпизод — напоминание о том, что автоматически обновляемые расширения редактора следует рассматривать как часть периметра безопасности, требующую тех же мер контроля учётных данных и доступа, что и любая другая цепочка поставок программного обеспечения.
