Обновляешь расширение для программирования, а вместе с ним получаешь чужой SSH-ключ, вредоносные скрипты и попытку открыть хакеру удалённый доступ к компьютеру.
29 октября именно такой сюрприз оказался в магазине расширений Cursor. Компания официально подтвердила заражение версии Claude Code 2.1.313.
Вредоносное расширение распространялось почти 11 часов — с 2:27 до 13:35 по тихоокеанскому времени.
За это время его могли получить до 5000 пользователей. Это верхняя оценка Cursor, а не количество доказанных взломов.
Троян внутри настоящего расширения
Злоумышленники не создавали отдельную подделку под названием Claude Code. Они внедрили вредоносный JavaScript в пакет расширения, которое разработчики используют для работы с ИИ-помощником Anthropic.
Когда заражённое расширение загружалось, код начинал действовать самостоятельно.
Сначала он собирал информацию о компьютере: имя пользователя, операционную систему, рабочие каталоги, электронную почту из настроек Git и внешний IP-адрес.
Затем добавлял в список разрешённых SSH-ключей компьютера собственный ключ злоумышленника.
Этот ключ мог позволить постороннему человеку подключиться к компьютеру без пароля, если SSH-сервер работал и был доступен.
Троян также пытался самостоятельно запустить SSH-сервер и установить обратное соединение с инфраструктурой атакующих.
А чтобы не исчезнуть после перезагрузки, создавал дополнительные скрипты автозапуска. На некоторых системах они должны были повторять попытку подключения примерно раз в минуту.
Всё это происходило внутри привычного инструмента разработчика.
Хакеры тоже ошибаются
Вредоносная программа оказалась написана далеко не идеально.
Специалисты Phorion обнаружили ошибки в механизме включения SSH на macOS. Программа некорректно обрабатывала ответ системы о состоянии удалённого доступа и зачастую даже не доходила до команды его включения.
Проблемы были и в версии для Windows.
Кроме того, запуск системной службы SSH обычно требует административных прав. А расширение, открытое обычным пользователем, таких полномочий не имеет.
В результате на большинстве типичных компьютеров полноценное удалённое подключение могло не заработать.
Но это ещё не означает, что атака не удалась совсем.
Вредоносный ключ, скрипты автозапуска и собранные сведения могли остаться на машине. А если SSH уже был включён, злоумышленники потенциально получали рабочий путь для подключения.
Cursor закрыла магазин и отключила сервер атаки
После обнаружения трояна компания удалила заражённую версию, временно остановила весь магазин расширений, проверила остальные пакеты и сменила инфраструктурные ключи.
Затем магазин пересобрали и снова запустили.
Cursor также связалась с хостинг-провайдером, обслуживавшим сервер злоумышленников. Сервер отключили, поэтому прежний канал связи с трояном больше не работает.
Компания заявляет, что следов компрометации других расширений не обнаружила.
По данным независимых исследователей StepSecurity, 30 октября вышла чистая версия Claude Code 2.1.314.
Как именно злоумышленники сумели подменить пакет, пока не установлено. Anthropic эту вредоносную версию не разрабатывала.
Что делать пользователям Cursor
Если 29 октября вы установили или обновили Claude Code до версии 2.1.313 через магазин Cursor, компьютер стоит проверить, даже если расширение уже удалено.
Простого удаления недостаточно.
В официальном уведомлении Cursor опубликованы инструкции для macOS и Windows. Один из признаков заражения — посторонний SSH-ключ с пометкой svc-telemetry.
Компания также подготовила специальные скрипты очистки. Они удаляют вредоносное расширение, ключ, механизмы автозапуска и связанные процессы.
Если следы заражения обнаружены, Cursor рекомендует изолировать компьютер и сменить доступные ему пароли и ключи доступа с другого, доверенного устройства.