В маркетплейсе VS Code была доступна вредоносная сборка Claude Code
Cursor сообщила, что вредоносно модифицированное расширение Anthropic.claude-code версии 2.1.313 было доступно в маркетплейсе расширений VS Code примерно с 2:27 до 13:35 по тихоокеанскому времени 29 октября 2026 года. Эту сборку не разрабатывала Anthropic. По оценке Cursor, воздействию могли подвергнуться до 5 000 пользователей.
Сбор данных и попытки удалённого доступа
Вредоносная нагрузка собирала сведения об узле и пользователе: имя узла и пользователя, операционную систему, архитектуру, путь к домашнему каталогу, имена переменных окружения, рабочие каталоги, настроенный адрес электронной почты Git и публичный IP-адрес.
ВПО добавила в файл authorized_keys пользователя публичный SSH-ключ, контролируемый злоумышленником. В записи использовалась метка svc-telemetry. Кроме того, вредоносная нагрузка пыталась активировать локальную службу SSH и установить обратный SSH-туннель к tunnel@134.209.82.225 через TCP-порт 22. Для активации службы требовались права администратора. По имеющимся данным, ошибки в полезной нагрузке приводили к срыву этого этапа в большинстве случаев.
Информацию об узле и статусе бэкдора ВПО отправляла методом HTTP POST на адрес 134.209.82.225:8099/beacon. Также она пыталась установить соединение с 127.0.0.1:8099/beacon.
Закрепление и действия Cursor
Вредоносная нагрузка установила механизмы закрепления, которые могут сохраниться после удаления расширения. На macOS она создала LaunchAgent ~/Library/LaunchAgents/com.apple.sysmond.plist и связанные файлы в каталоге ~/.config/. На Windows была создана запланированная задача SysMon, а в качестве резервного варианта использовался скрипт в папке автозагрузки. Связанные файлы размещались в профиле пользователя и временных каталогах. По имеющимся данным, эти механизмы пытались повторно устанавливать туннель каждые 60 секунд.
Ключевой индикатор компрометации, запись svc-telemetry в файле authorized_keys пользователя. Авторы отчёта рекомендуют на системах с версией 2.1.313 проверить наличие перечисленных артефактов закрепления и подозрительных процессов туннелирования: удаление расширения может не удалить их. Cursor удалила вредоносную версию, пересобрала маркетплейс, обновила свои ключи и обеспечила вывод из строя сервера атакующего.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
