Përditësimi i extension Claude Code instaloi një SSH backdoor
Një përditësim keqdashës i extension Claude Code, i shpërndarë përmes marketplace të extension të Cursor, u përpoq t’i jepte një sulmuesi të panjohur akses të vazhdueshëm në distancë në sistemet e prekura të zhvillimit. Njoftimi i rishikuar i sigurisë nga Cursor identifikon si të prekura versionet 2.1.312 dhe 2.1.313 për Windows dhe macOS. Publikimet e paautorizuara u shfaqën nën identifikuesin legjitim të extension, anthropic.claude-code, dhe jo si një paketë e veçantë imituese.
Cursor tha se incidenti preku jo më shumë se 5,000 përdorues që instaluan software e komprometuar midis rreth orës 2:27 të mëngjesit dhe 1:35 pasdite PT, më 29 tetor 2026. Kompania e mbylli përkohësisht marketplace e saj për ta hequr paketën dhe tha se do të kontaktonte drejtpërdrejt përdoruesit e prekur. Mënyra e përdorur për të publikuar extension e ndryshuar nën identitetin e Anthropic, si dhe niveli i plotë i aksesit të marrë nga sulmuesi, mbeten të panjohura.
OpenSourceMalware zbuloi se versioni 2.1.313 identifikohej si paketa legjitime, por përmbante një loader keqdashës prej 66 rreshtash, të vendosur përpara kodit normal të extension. loader ekzekutohej kur ngarkohej moduli i extension, përfshirë pas nisjes së Visual Studio Code dhe kur hapej webview i extension, një panel i integruar brenda editorit. Më pas, ai shtonte një hyrje të kontrolluar nga sulmuesi, të emërtuar "svc-telemetry", në ~/.ssh/authorized_keys, një skedar që rendit se cilat kredenciale të Secure Shell (SSH) mund të hyjnë në distancë në një llogari.
Kodi u përpoq gjithashtu të aktivizonte shërbimin lokal SSH në Windows, Linux dhe macOS, të krijonte një reverse tunnel drejt 134.209.82[.]225 dhe të konfiguronte persistence në mënyrë që të ekzekutohej përsëri më vonë. Një reverse tunnel është një lidhje dalëse që mund ta bëjë një shërbim në kompjuterin e prekur të arritshëm nga një sistem në distancë. Metoda e persistence ndryshonte sipas sistemit operativ, duke përdorur një scheduled task në Windows, crontab në Linux dhe një LaunchAgent në macOS.
Sipas analizës së Cursor, zakonisht nevojiten të drejta administrative për të aktivizuar shërbimin SSH në shumicën e kompjuterëve Windows dhe macOS. Në sistemet ku extension nuk i kishte këto të drejta, ky hap dështonte dhe sulmuesi nuk mund të hynte përmes tunnel. Megjithatë, dështimi për të vendosur akses në distancë nuk e pengonte loader të shtonte hyrjen e paautorizuar SSH, të krijonte artifacts të nisjes ose të dërgonte informacione për kompjuterin. Microsoft paralajmëroi në mënyrë të ngjashme se aksesi i suksesshëm varej nga privilegjet e sistemit, konfigurimet SSH dhe konfigurimi i serverit të sulmuesit.
Extension dërgonte një beacon, domethënë një raport të shkurtër nga sistemi i infektuar, përmes HTTP të pakriptuar drejt 134.209.82[.]225:8099/beacon. Raporti përfshinte adresën publike IP të marrë nga api.ipify[.]org, hostname, emrin lokal të përdoruesit, sistemin operativ, arkitekturën e CPU-së, direktorinë home, direktorinë aktuale të punës dhe adresën globale të emailit në Git. Ai rendiste gjithashtu emrat e deri në 40 environment variables, emrat e të cilave përmbanin KEY, TOKEN, SECRET, PASS, AWS ose GCP. environment variables janë konfigurime që programet mund t’i përdorin për të ruajtur parametrat e konfigurimit ose kredencialet.
Studiuesit thanë se beacon fillestar nuk përfshinte vlerat e ruajtura në këto environment variables. Megjithatë, emrat e tyre mund të zbulonin se cilët ofrues cloud, sisteme continuous integration ose lloje kredencialesh ishin konfiguruar. Nëse aksesi SSH në distancë realizohej me sukses, operatori mund ta inspektonte drejtpërdrejt llogarinë, të ekzekutonte komanda ose të transferonte skedarë. Nuk u vunë re payloads të tjera.
Anthropic tha se sistemet dhe laptopët e punonjësve të saj nuk u komprometuan. Ajo ia atribuoi publikimin një aktori keqdashës që përdori aksesin në marketplace të Cursor, ku extension e manipuluar mbeti e disponueshme për afro 12 orë. Nuk ka prova që publikimet keqdashëse arritën në Open VSX, Microsoft Visual Studio Marketplace ose paketën anthropic-ai/claude-code në npm. Socket shqyrtoi të dhënat e registry dhe logs e saj të marrjes së të dhënave dhe, po ashtu, nuk gjeti prova se versioni 2.1.313 ishte bërë publikisht i disponueshëm përmes Open VSX gjatë periudhës së shqyrtuar.
Deri më 30 tetor 2026, publikimi keqdashës ishte hequr. Versioni 2.1.314 ishte versioni më i fundit i publikuar nga Anthropic përmes Open VSX dhe marketplace të Microsoft. Cursor tha se kishte zëvendësuar keys e saj, kishte rindërtuar marketplace dhe kishte punuar me ofruesin cloud për ta nxjerrë jashtë funksionit serverin e sulmuesit, duke e lënë reverse shell jofunksional. Kompania tha gjithashtu se asnjë extension tjetër në marketplace nuk ishte ndryshuar në mënyrë keqdashëse.
Vetëm heqja ose përditësimi i extension nuk mjafton, sepse kodi keqdashës shkroi skedarë dhe konfigurime jashtë dosjes së instalimit të extension. Microsoft këshillon organizatat e prekura që të ruajnë provat, të shkëpusin sistemet e prekura, të heqin hyrjet e paautorizuara SSH, scripts, identitetet e tunnel dhe elementet e nisjes automatike, të shqyrtojnë të dhënat e endpoint dhe të ndryshojnë kredencialet ose të revokojnë sesionet aktive. Kjo vlen për sistemet që instaluan ose u përditësuan automatikisht në versionet 2.1.312 ose 2.1.313 përmes marketplace të Cursor.
Për bizneset që vlerësojnë sistemet e zhvillimit dhe procedurat e reagimit pas një incidenti të tillë, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë si përparësi. Rasti vjen gjithashtu pas një incidenti të veçantë në software supply chain, të zbuluar pak më shumë se një javë më parë, në të cilin një sulmues i panjohur zëvendësoi skedarët e publikimit për pesë versione ekzistuese të mjetit zyrtar command-line të OVHcloud, pasi llogaria GitHub e një kontribuuesi legjitim ishte marrë nën kontroll në mars 2026 si pjesë e operacionit GlassWorm.