В маркетплейсе Cursor распространили вредоносную версию расширения Claude Code: SSH-бэкдор, до 5 000 машин

Что произошло

В маркетплейсе расширений Cursor 29 октября с 2:27 до 13:35 PT была доступна вредоносная версия официального расширения Claude Code для VS Code — Anthropic.claude-code 2.1.313. По уведомлению Cursor, пакет разработан не Anthropic; затронуто не более 5 000 пользователей. Расширение собирало данные хоста (имя машины и пользователя, ОС, пути, имена переменных окружения, Git email, внешний IP), добавляло SSH-ключ атакующего с комментарием svc-telemetry в authorized_keys, пыталось включить SSH-сервис и открыть обратный туннель, ставило persistence (LaunchAgent на macOS, задача SysMon на Windows) и отправляло отчёт на сервер атакующего.

Из-за ошибок в коде и отсутствия прав администратора на большинстве машин включение SSH-сервиса не сработало — вход по туннелю, вероятно, не состоялся, но ключ, persistence и данные хоста уходили независимо от этого. Cursor удалил пакет, на всякий случай остановил весь маркетплейс, проверил, что остальные расширения не тронуты, ротировал ключи, перестроил инфраструктуру и вместе с хостинг-провайдером отключил сервер атакующего. Механизм попадания пакета в маркетплейс Cursor не объясняет; исследователи (первыми заметили в Phorion) наблюдают компрометацию цепочки поставок, Kevin Beaumont связывает её с неполадками на стороне Anthropic без официального подтверждения.

Почему это важно

Инцидент показывает поверхность поставки, о которой легко забыть: расширение агентного стека обновляется автоматически, и вредоносная версия попадает на машины разработчиков через штатный механизм. Доверие к «официальному» пакету — не защита, если скомпрометирован канал публикации. Расширение имеет доступ к тому же, что и сам агент: репозитории, ключи, переменные окружения. Второй урок — устранение сложнее удаления: payload кладёт отдельные скрипты persistence, поэтому мало снести расширение, нужно проверить authorized_keys, планировщики задач и ротировать секреты с чистой машины.

Что с этим делать

• Если расширение ставилось или обновлялось 29 октября в указанное окно — проверить grep svc-telemetry ~/.ssh/authorized_keys, удалить ключ и persistence, ротировать секреты (чек-лист и IOC — в уведомлении Cursor).
• Ограничить автоматические обновления расширений агентного стека и подписаться на security-уведомления вендоров.
• Провести ретро поставки: кто и как публикует пакеты, как проверяются обновления, какие алерты сработают в следующий раз.