Вредоносная версия Claude Code для Cursor затронула около 5000 компьютеров

В маркетплейсе редактора Cursor появилась изменённая сборка расширения Anthropic Claude Code под номером 2.1.313. Внутри работал троян для удалённого доступа (RAT): он устанавливался на машины разработчиков. Cursor оценивает число затронутых систем примерно в 5000.

Сначала пакет выяснял, куда попал: имя устройства, учётную запись, версию и архитектуру операционной системы, домашний каталог, перечень переменных окружения, рабочие каталоги, адрес электронной почты из настроек Git и публичный IP-адрес. Собранное уходило на сервер злоумышленника вместе с отчётом о состоянии бэкдора.

Дальше код пытался закрепиться: добавлял SSH-ключ атакующего в список разрешённых, включал локальный SSH-сервис и поднимал обратный SSH-туннель — канал, по которому к компьютеру можно подключаться снаружи. Скрипты повторяли попытку примерно раз в 60 секунд.

Почему закрепление срабатывало не всегда

По описанию Cursor, в большинстве случаев стойкий удалённый доступ не устанавливался: в вредоносном коде были недочёты, и он срабатывал только при нетипичных условиях — например, если Cursor был запущен с правами администратора. Сколько заражённых машин в итоге получили рабочий канал доступа, в сообщении об инциденте не указано.

Атака через цепочку поставок

Cursor утверждает, что пакет выпустила не Anthropic: его загрузили, получив доступ к маркетплейсу. При этом, по словам автора исходного сообщения, публикация шла от имени подтверждённого аккаунта Anthropic. То есть это атака через цепочку поставок программного обеспечения, а не взлом инфраструктуры самой Anthropic.

После обнаружения версию 2.1.313 убрали из маркетплейсов, на её месте — 2.1.314. Обновление расширения не удаляет SSH-бэкдор, уже созданный на заражённых компьютерах. Автор сообщения также предупреждает, что пока не может подтвердить отсутствие вредоносного кода в новой версии.

Подозрительную активность на машинах пользователей первыми заметили специалисты Phorion и опубликовали запросы KQL для поиска следов заражения в Microsoft Defender for Endpoint. Cursor инцидент признала и назвала масштаб компрометации.