Cursor повідомила, що 29 жовтня 2026 року в її маркетплейсі близько 11 годин стояла підроблена версія розширення Anthropic Claude Code, яку могли встановити до 5 000 розробників. Anthropic це розширення не розробляла.
Для білдера важливо не те, що віддалений доступ здебільшого не відкрився, а чому. Його зірвали помилки в коді зловмисників, а не захист редактора. Ключ атакувальника й автозапуск при цьому записалися на диск, а самого видалення розширення, за словами Cursor, може бути недостатньо: шкідливий код залишає окремі скрипти, які продовжують працювати.
Що робило підроблене розширення Claude Code?
Підроблене розширення Anthropic.claude-code версій 2.1.312 і 2.1.313 збирало дані про машину й намагалося поставити постійний SSH-бекдор на macOS і Windows, за даними Cursor. Воно було доступне з 2:27 до 13:35 за тихоокеанським часом.
Розширення збирало імʼя хоста, імʼя користувача, ОС, архітектуру, шлях до домашньої теки, назви змінних середовища, робочі теки, Git-email і публічну IP-адресу. Потім воно додавало SSH-ключ з позначкою svc-telemetry до authorized_keys, намагалося ввімкнути локальний SSH і відкрити зворотний тунель. Щоб закріпитися, воно намагалося використати LaunchAgent на macOS або заплановане завдання на Windows, а фонові скрипти пробували підняти тунель приблизно кожні 60 секунд.
Чому віддалений доступ здебільшого не спрацював?
Віддалений доступ здебільшого не спрацював, бо код вмикання SSH містив помилки, а на більшості машин розширення не має прав адміністратора. Про помилки в коді пише BleepingComputer з посиланням на дослідників Phorion.
На macOS шкідливий код перевіряє стан Remote Login командою systemsetup -getremotelogin без підвищених прав. Команда повертає помилку доступу, а не статус, і оскільки SSH вмикається лише тоді, коли у виводі є «Off», крок пропускається. На Windows код намагається встановити OpenSSH через PowerShell, але запускає його через /bin/sh, якого в стандартній Windows немає.
Ключ, автозапуск і розвідувальні дані це не зупинило: Cursor підтверджує, що розширення додало ключ, поставило персистентність і надіслало дані про хост. BleepingComputer уточнює, що тунель не дає доступу лише тоді, коли SSH-сервер ще не працював. Ймовірно, це означає ризик для машин, де віддалений вхід уже був увімкнений. Cursor також згадує виняток, коли редактор запустили з правами адміністратора.
Прямо красти облікові дані скрипт не намагався: серед зібраного були лише назви змінних середовища. За оцінкою BleepingComputer, зловмисники, схоже, планували забирати чутливі дані вручну вже через SSH-тунель.
Де джерела розходяться і що досі невідомо?
Джерела розходяться у версіях: Cursor називає 2.1.312 і 2.1.313, а BleepingComputer пише лише про 2.1.313. Практично це означає, що перевіряти треба обидві. The Decoder збігається в масштабі (до 5 000 користувачів) і датує інцидент четвергом.
Невідомо, як зловмисники опублікували розширення під іменем Anthropic у маркетплейсі Cursor і чи були скомпрометовані системи Cursor або Anthropic. BleepingComputer звернувся до обох компаній і відповіді поки не отримав. Початкові повідомлення про те, що шкідливий пакет був також в npm, Open VSX і Visual Studio Code Marketplace, не підтвердилися: джерелом був лише Cursor.
Сама Cursor прибрала версію, на деякий час повністю вимкнула маркетплейс, перевірила доступи, підтвердила, що інші розширення не змінювали, ротувала ключі й перебудувала маркетплейс. Хостинг-провайдер за її участі вимкнув сервер атакувальника.
Що робити, якщо ви встановлювали це розширення?
- Згадайте, чи ставили або оновлювали Claude Code у Cursor на macOS чи Windows 29 жовтня між 2:27 і 13:35 PT. Саме для таких машин Cursor дає інструкції.
- На macOS виконайте команду від Cursor: grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted". На Windows Cursor радить у PowerShell перевірити файли $HOME\.ssh\authorized_keys і C:\ProgramData\ssh\administrators_authorized_keys на рядок svc-telemetry.
- Якщо ключ знайдено, ізолюйте машину й запустіть скрипт зі сторінки Cursor: remediate-macos.sh від імені користувача, не root, або remediate-windows.ps1 з PowerShell, відкритого від імені адміністратора.
- Перевірте залишки: на macOS ~/Library/LaunchAgents/com.apple.sysmond.plist і ~/.config/.smt, на Windows %USERPROFILE%\.config\smt.cmd. Шкідливий код кладе окремі скрипти автозапуску, і вони працюють навіть після видалення розширення.
- У мережевих логах шукайте 134[.]209[.]82[.]225: SSH на TCP 22 і HTTP POST на порт 8099 за шляхом /beacon.
- З довіреної системи змініть секрети й завершіть сесії, доступні із зараженої машини. Cursor прямо каже, що обмежений збір змінних середовища не виключає пізнішого доступу до облікових даних через бекдор. BleepingComputer додає, що середовище варто перебудувати з чистих резервних копій.
