The Pulse

Secondo Reco, sui Mac dei clienti sono comparsi avvisi degli strumenti di sicurezza per endpoint legati a un’estensione Claude Code manomessa

Secondo Reco, un’estensione Claude Code manomessa presente sul marketplace di Cursor ha raggiunto diversi Mac di clienti nell’arco di circa 11 ore il 29 ottobre 2026. A oggi non sono state trovate prove di successive attività negli ambienti

AI.info Team · Scritto con l’IA · verificato · 2026-11-06

Il 5 novembre Reco ha pubblicato un post in cui descrive un’estensione Claude Code manomessa comparsa sul marketplace di Cursor. Il 29 ottobre il pacchetto è stato distribuito per circa 11 ore, nelle versioni 2.1.312 e 2.1.313. Anthropic afferma che i propri sistemi non sono stati compromessi e che il pacchetto non è mai stato presente su Visual Studio Marketplace o npm.

Come l’estensione manomessa continuava a funzionare

Il codice malevolo veniva eseguito prima del codice normale dell’estensione, consentendo a quest’ultima di continuare a funzionare. L’analisi di Microsoft, riassunta da Reco, afferma che il loader raccoglieva dettagli sull’host, come il nome host della macchina, il nome utente, il sistema operativo, la directory home e l’indirizzo email globale di Git. Registrava anche i nomi, ma non i valori, delle variabili d’ambiente che sembravano contenere chiavi, token o segreti.

Il loader aggiungeva una chiave SSH con l’etichetta «svc-telemetry» al file authorized_keys dell’utente e cercava di abilitare il servizio SSH locale. Tentava inoltre di aprire un tunnel inverso verso un server controllato dall’attaccante e gli chiedeva di inoltrare le connessioni alla porta SSH della workstation, così da non richiedere una regola firewall per le connessioni in ingresso. Su macOS utilizzava un LaunchAgent chiamato com.apple.sysmond.plist; su Windows creava un’attività pianificata chiamata SysMon.

Secondo Reco, a oggi nessuna prova di successive attività negli ambienti SaaS

Reco ha cercato l’indirizzo IP dell’attaccante reso pubblico, i file di persistenza e la riga di comando SSH inversa negli avvisi degli strumenti di sicurezza per endpoint dei suoi clienti, quindi ha controllato gli ambienti SaaS alla ricerca dell’IP dell’attaccante, di nuove chiavi o token e di accessi non riconosciuti. La società ha rilevato l’attività sotto forma di avvisi su singoli Mac in diversi ambienti dei clienti il 29 ottobre, durante la finestra di esposizione. A oggi, afferma, non ha trovato prove di successive attività offensive in quegli ambienti SaaS.

Secondo Reco, l’analisi di Microsoft mostra il punto d’appoggio ottenuto, ma non indica che siano state rubate credenziali da alcuna macchina. Abilitare il servizio SSH locale richiede diritti di amministratore, di cui l’estensione non dispone sulla maggior parte degli host macOS e Windows, riferisce Cursor. Cursor afferma inoltre di aver collaborato con il provider di hosting per mettere offline il server dell’attaccante, ma secondo Reco questo non elimina quanto già presente su una macchina: la chiave inserita, i meccanismi di persistenza e il segnale periodico non scompaiono quando l’estensione viene rimossa.

Come una macchina di uno sviluppatore potrebbe esporre l’accesso degli agenti

Nella descrizione di Reco, il rischio per gli ambienti SaaS e gli agenti è una possibile conseguenza del punto d’appoggio ottenuto sull’endpoint, non un’attività osservata nel campione analizzato. Secondo Reco, i segreti nei file di testo in chiaro e nelle variabili d’ambiente sono facilissimi da leggere, mentre quelli nel portachiavi di un sistema operativo o su una chiave hardware sono più difficili da leggere. Le macchine degli sviluppatori contengono in genere anche token GitHub, chiavi SSH, credenziali CLI per il cloud e chiavi API per piattaforme di IA, secondo Reco.

Le macchine che eseguono agenti di coding possono contenere credenziali per le connessioni degli agenti stessi, tra cui chiavi API, autorizzazioni OAuth e configurazioni di server MCP, che spesso incorporano token. Gli agenti di coding eseguono comandi shell, modificano repository e richiamano strumenti con le autorizzazioni dello sviluppatore, afferma Reco; il codice eseguito nello stesso contesto utente eredita tale livello di accesso. Reco precisa che quest’ultimo punto è una propria deduzione sulla posizione del codice malevolo, non un fatto riportato per questo campione.

Le verifiche di Reco dopo l’esposizione

Reco consiglia di identificare le macchine Mac e Windows che hanno installato o aggiornato automaticamente le versioni interessate dell’estensione durante la finestra del 29 ottobre, per poi verificare la presenza della chiave inserita, dei file di persistenza e degli script. L’assenza della chiave non significa che si possa escludere ogni rischio, avverte Reco, perché il loader ignora gli errori e i meccanismi di persistenza possono essere presenti anche senza la chiave. Nel post si raccomanda inoltre di isolare le macchine interessate, conservare le prove, rimuovere la chiave, le voci di avvio e gli script separatamente dall’estensione e ruotare le credenziali da un dispositivo pulito.

Come verifica successiva, Reco raccomanda di esaminare i log SaaS e cloud alla ricerca di nuove chiavi SSH, chiavi di deploy o token di accesso personali, accessi o chiamate API da posizioni, indirizzi di provider di hosting o dispositivi non riconosciuti, nuove autorizzazioni ad app OAuth, nuove chiavi di accesso cloud e clonazioni massive di repository o esportazioni di dati. La società consiglia anche di controllare l’attività degli agenti eseguiti dalle persone interessate. Per i futuri controlli sulle estensioni, indica le restrizioni in Cursor basate sugli editori approvati o sugli ID delle estensioni e l’impostazione Marketplace Install Cooldown.