The Pulse
Cursor trova un’estensione Claude Code malevola nel suo marketplace
Cursor afferma che copie modificate dell’estensione Claude Code, versioni 2.1.312 e 2.1.313, sono state disponibili nel suo marketplace per circa 11 ore il 29 ottobre. Il pacchetto ha tentato di installare una backdoor SSH e raccogliere inf
AI.info Team · Scritto con l’IA · verificato ·
«L’estensione ha aggiunto la chiave SSH dell’attaccante, installato meccanismi di persistenza e inviato informazioni sull’host all’attaccante.»
Team di Cursor
Le versioni 2.1.312 e 2.1.313 sono rimaste disponibili per 11 ore
Cursor afferma che una copia modificata in modo malevolo dell’estensione Claude Code di Anthropic era disponibile il 29 ottobre attraverso il marketplace delle estensioni VS Code di Cursor. I pacchetti interessati si identificavano come versioni 2.1.312 e 2.1.313 di Anthropic.claude-code per Windows e macOS e, secondo Cursor, non erano stati sviluppati da Anthropic. La copia è rimasta disponibile dalle 2:27 circa alle 13:35, ora del Pacifico.
L’avviso dell’azienda riguarda quelle versioni: Cursor afferma di non avere prove che altre versioni dell’estensione o la distribuzione ufficiale siano state coinvolte. La sua ricostruzione non spiega come il pacchetto alterato sia entrato nel marketplace di Cursor.
L’estensione ha tentato di lasciare una via di accesso
Quando veniva eseguito, il codice malevolo raccoglieva informazioni tra cui hostname della macchina, nome utente, sistema operativo, architettura, percorso della directory home, directory di lavoro, indirizzo email configurato in Git e indirizzo IP pubblico. Raccoglieva anche i nomi delle variabili d’ambiente, che possono rivelare quali tipi di credenziali o servizi utilizza il sistema di uno sviluppatore. Cursor afferma però che si trattava di una raccolta limitata e non sostiene che l’estensione abbia copiato direttamente i valori delle credenziali.
Il pacchetto ha tentato di aggiungere alle chiavi autorizzate della macchina una chiave SSH controllata dall’attaccante e contrassegnata come svc-telemetry, abilitare SSH in locale e aprire un tunnel SSH inverso. Ha inoltre cercato di mantenere disponibile il tunnel tramite un LaunchAgent di macOS o un’attività pianificata di Windows, con script in background che riprovavano circa una volta al minuto. L’estensione inviava informazioni sull’host e sullo stato della backdoor a un server controllato dall’attaccante tramite HTTP.
Cursor afferma che il passaggio di abilitazione di SSH richiede diritti di amministratore, di cui l’estensione non disporrebbe sulla maggior parte delle macchine macOS e Windows. A causa di errori nel codice malevolo, quel passaggio fallirebbe in circostanze normali, limitando la capacità dell’attaccante di accedere attraverso il tunnel. Cursor avverte però che la chiave, i file di persistenza e l’invio di informazioni sull’host potrebbero comunque rimanere: il fallimento del tunnel non significa che un’installazione fosse innocua.
Cursor ha disattivato e ricostruito il suo marketplace
Cursor afferma di aver rimosso la versione malevola, bloccato ulteriori distribuzioni e chiuso per precauzione l’intero marketplace delle estensioni VS Code. Ha verificato gli accessi, afferma di non aver trovato altre estensioni manomesse, ha sostituito le proprie chiavi e ricostruito il marketplace prima di riportarlo online. L’azienda ha inoltre collaborato con il fornitore di hosting del server per disattivarlo, interrompendo il tunnel e la connessione usata per l’invio dei dati.
La chiusura del marketplace ha impedito ulteriori distribuzioni, ma non ripulisce le macchine che hanno già eseguito l’estensione. Cursor avverte in particolare che disinstallare l’estensione potrebbe non rimuovere gli script di persistenza autonomi. Nel suo avviso invita gli utenti interessati a cercare la chiave svc-telemetry, esaminare i registri degli endpoint, della rete e delle installazioni delle estensioni, isolare le macchine che mostrano segni di esecuzione, rimuovere la chiave non autorizzata e i meccanismi di persistenza e sostituire credenziali e sessioni da un sistema attendibile.
L’esposizione è legata a un solo pacchetto del marketplace
Le indicazioni di Cursor distinguono tra la provenienza dell’estensione e ciò che il suo nome dichiarava: l’incidente ha riguardato le versioni 2.1.312 e 2.1.313 distribuite attraverso il marketplace di Cursor e non ha portato a constatare una compromissione della distribuzione ufficiale di Anthropic. L’azienda afferma che il server malevolo non è più funzionante, ma consiglia comunque agli utenti che hanno installato una delle due versioni o vi hanno aggiornato l’estensione durante la finestra del 29 ottobre di seguire le sue indicazioni per le verifiche e gli interventi correttivi.
Il segnale concreto di compromissione individuato da Cursor è la chiave SSH non autorizzata contrassegnata come svc-telemetry. Secondo l’azienda, trovarla significa che una macchina è stata colpita; la sola rimozione dell’estensione potrebbe lasciare sulla macchina la chiave e gli script che tentano di ripristinare il tunnel.