Un aggiornamento dell’estensione Claude Code ha installato una SSH backdoor
Un aggiornamento dannoso dell’estensione Claude Code distribuito tramite il marketplace delle estensioni di Cursor ha tentato di fornire a un autore dell’attacco sconosciuto un accesso remoto persistente ai sistemi di sviluppo interessati. L’avviso di sicurezza aggiornato di Cursor identifica come interessate le versioni 2.1.312 e 2.1.313 per Windows e macOS. Le release non autorizzate sono apparse con l’identificatore legittimo dell’estensione, anthropic.claude-code, anziché come un pacchetto contraffatto separato.
Cursor ha dichiarato che l’incidente ha interessato al massimo 5.000 utenti che hanno installato il software compromesso tra le 2:27 circa e le 13:35 PT del 29 ottobre 2026. L’azienda ha chiuso temporaneamente il proprio marketplace per rimuovere il pacchetto e ha affermato che avrebbe contattato direttamente gli utenti interessati. Restano sconosciuti il metodo utilizzato per pubblicare l’estensione alterata sotto l’identità di Anthropic e il livello completo di accesso ottenuto dall’autore dell’attacco.
OpenSourceMalware ha scoperto che la versione 2.1.313 si identificava come il pacchetto legittimo, ma conteneva un loader dannoso di 66 righe collocato prima del normale codice dell’estensione. Il loader veniva eseguito al caricamento del modulo dell’estensione, anche dopo l’avvio di Visual Studio Code e all’apertura della webview dell’estensione, un pannello incorporato nell’editor. Aggiungeva quindi una voce controllata dall’autore dell’attacco, denominata «svc-telemetry», a ~/.ssh/authorized_keys, un file che elenca quali credenziali Secure Shell (SSH) possono accedere da remoto a un account.
Il codice tentava inoltre di abilitare il servizio SSH locale su Windows, Linux e macOS, creare un reverse tunnel verso 134.209.82[.]225 e predisporre la persistence affinché venisse eseguito nuovamente in seguito. Un reverse tunnel è una connessione in uscita che può rendere un servizio sul computer interessato raggiungibile da un sistema remoto. Il metodo di persistence variava in base al sistema operativo e utilizzava un’attività pianificata su Windows, crontab su Linux e un LaunchAgent su macOS.
Secondo l’analisi di Cursor, per abilitare il servizio SSH sulla maggior parte dei computer Windows e macOS sono normalmente necessari diritti amministrativi. Nei sistemi in cui l’estensione non disponeva di tali diritti, quel passaggio non riusciva e l’autore dell’attacco non poteva accedere tramite il tunnel. Tuttavia, l’impossibilità di stabilire l’accesso remoto non impediva al loader di aggiungere la voce SSH non autorizzata, creare artefatti di avvio o inviare informazioni sul computer. Analogamente, Microsoft ha avvertito che il successo dell’accesso dipendeva dai privilegi di sistema, dalle impostazioni SSH e dalla configurazione del server dell’autore dell’attacco.
L’estensione inviava un beacon, ossia un breve rapporto dal sistema infetto, tramite HTTP non cifrato a 134.209.82[.]225:8099/beacon. Il rapporto includeva l’indirizzo IP pubblico ottenuto da api.ipify[.]org, il nome host, il nome utente locale, il sistema operativo, l’architettura della CPU, la home directory, la directory di lavoro corrente e l’indirizzo email Git globale. Elencava inoltre i nomi di un massimo di 40 environment variables i cui nomi contenevano KEY, TOKEN, SECRET, PASS, AWS o GCP. Le environment variables sono impostazioni che i programmi possono utilizzare per contenere configurazioni o credenziali.
I ricercatori hanno affermato che il beacon iniziale non includeva i valori memorizzati in tali variabili. I loro nomi potevano comunque rivelare quali cloud provider, sistemi di continuous integration o tipi di credenziali fossero configurati. Se l’accesso SSH remoto riusciva, l’operatore poteva ispezionare direttamente l’account, eseguire comandi o trasferire file. Non sono stati osservati payload aggiuntivi.
Anthropic ha dichiarato che i propri sistemi e i laptop dei dipendenti non sono stati compromessi. Ha attribuito la pubblicazione a un attore malevolo che ha utilizzato un accesso al marketplace di Cursor, dove l’estensione manomessa è rimasta disponibile per quasi 12 ore. Non vi sono prove che le release dannose abbiano raggiunto Open VSX, Visual Studio Marketplace di Microsoft o il pacchetto anthropic-ai/claude-code su npm. Socket ha esaminato i record del registry e i propri log di acquisizione e, analogamente, non ha trovato prove che la versione 2.1.313 sia diventata pubblicamente disponibile tramite Open VSX durante il periodo esaminato.
Al 30 ottobre 2026, la release dannosa era stata rimossa. La versione 2.1.314 era la versione più recente pubblicata da Anthropic tramite Open VSX e il marketplace di Microsoft. Cursor ha dichiarato di aver sostituito le proprie keys, ricostruito il marketplace e collaborato con il cloud provider per mettere offline il server dell’autore dell’attacco, rendendo non funzionante la reverse shell. Ha inoltre affermato che nessun’altra estensione del marketplace era stata modificata in modo dannoso.
La sola rimozione o l’aggiornamento dell’estensione non sono sufficienti, perché il codice dannoso ha scritto file e impostazioni al di fuori della cartella di installazione dell’estensione. Microsoft consiglia alle organizzazioni interessate di conservare le prove, disconnettere i sistemi interessati, rimuovere le voci SSH non autorizzate, gli script, le identità del tunnel e gli elementi di avvio, esaminare i record degli endpoint e sostituire le credenziali o revocare le sessioni attive. Questo vale per i sistemi che hanno installato o aggiornato automaticamente alle versioni 2.1.312 o 2.1.313 tramite il marketplace di Cursor.
Alle aziende che, dopo un incidente come questo, devono valutare i sistemi di sviluppo e le procedure di risposta, AEU-I offre servizi IT, infrastrutturali e di consulenza incentrati innanzitutto sulla sicurezza. Il caso segue inoltre un distinto incidente relativo alla software supply chain, reso noto poco più di una settimana prima, nel quale un autore dell’attacco sconosciuto aveva sostituito i file di release di cinque versioni esistenti dello strumento a riga di comando ufficiale di OVHcloud, dopo che l’account GitHub di un collaboratore legittimo era stato dirottato nel marzo 2026 nell’ambito dell’operazione GlassWorm.