Akademia NIS2/KSC2 od sekuraka. 19 października start drugiej edycji!
Zobacz nasz aktualny kalendarz szkoleń!
Złośliwa aktualizacja Claude Code w Cursor Marketplace. Do 5000 potencjalnie poszkodowanych użytkowników
Badacze bezpieczeństwa z OpenSourceMalware odkryli zmodyfikowaną wersję oficjalnego rozszerzenia Claude Code firmy Anthropic, która zawierała trojana. Dystrybuowano ją jako zwykłą aktualizację za pośrednictwem marketplace środowiska IDE Cursor.
TLDR:
- Złośliwa wersja oficjalnego rozszerzenia Claude Code (2.1.313) była dystrybuowana przez Cursor Marketplace pod prawdziwym wydawcą Anthropic.
- Malware instalowało klucz SSH atakującego, persystencję i przesyłało dane dotyczące zainfekowanego hosta.
- Incydent mógł dotknąć maksymalnie 5000 użytkowników, którzy zainstalowali złośliwą wersję 29 października 2026 r.
- Problem dotyczył wyłącznie marketplace Cursor. Nie stwierdzono dystrybucji złośliwej wersji przez Open VSX ani Microsoft VS Code Marketplace.
- Cursor usunął złośliwą wersję, odbudował marketplace i wyłączył serwer wykorzystywany przez atakujących.
Złośliwa aktualizacja (2.1.313) dotyczyła oficjalnej wtyczki (Claude Code) od oficjalnego wydawcy (Anthropic). Cursor tymczasowo zamknął swój marketplace i usunął pakiet. Nie znamy sposobu, w jaki atakujący byli w stanie opublikować złośliwą wersję prawdziwej wtyczki.
Firma Cursor poinformowała, że incydent mógł dotknąć maksymalnie 5 tysięcy użytkowników. Wskazali, że złośliwa wersja nie została stworzona przez Anthropic, a sam incydent nie dotyczy innych rozszerzeń pobranych z marketplace Cursor, ani żadnego z pozostałych produktów (m.in. Grok, Grok Bot).
Złośliwa aktualizacja była dystrybuowana wyłącznie za pośrednictwem Cursor marketplace. Dotychczas nie pojawiły się informacje o opublikowaniu złośliwej wersji w Open VSX ani w oficjalnym Microsoft VS Code Marketplace.
W zmodyfikowanej wersji, przed prawidłowym kodem rozszerzenia wstawiono loader składający się z 66 linii kodu. Po uruchomieniu VS Code i otwarciu webview wtyczki, do pliku ~/.ssh/authorized_keys dodawany jest klucz SSH kontrolowany przez atakujących. Zapisywany jest on pod nazwą svc-telemetry, zapewne aby sprawiać wrażenie nieszkodliwego.
Następnie rozszerzenie próbuje umożliwić atakującemu dostęp do komputera ofiary przez SSH, ustanawiając tunel zwrotny do 134[.]209[.]82[.]225, wdraża persystencję, a także przesyła informacje dotyczące hosta na adres 134[.]209[.]82[.]225[:]8099/beacon za pośrednictwem zwykłego żądania HTTP.
Zebrane dane obejmują:
- publiczny adres IP pobrany z api[.]ipify[.]org,
- nazwę hosta i lokalną nazwę użytkownika,
- system operacyjny i architekturę procesora,
- nazwę katalogu domowego i roboczego,
- adres e-mail z Git pobrany za pomocą git config –global user.email,
- nazwy maksymalnie 40 zmiennych środowiskowych zawierających KEY, TOKEN, SECRET, PASS, AWS lub GCP.
Wartości zmiennych środowiskowych nie są wysyłane na tym etapie. Ich nazwy mogą ujawniać, z jakich dostawców usług chmurowych i narzędzi CI korzysta ofiara, ale w tym żądaniu malware nie wysyła poświadczeń do atakującego.
W komunikacie Cursor wskazano, że włączenie lokalnej usługi SSH wymaga uprawnień administratora, których złośliwe rozszerzenie nie posiada w przypadku większości urządzeń na macOS i Windows.
Cursor wskazał także, że incydent dotknął maksymalnie 5 tysięcy użytkowników, którzy zainstalowali złośliwą wersję 29 października 2026 r. między ok. 10:27 a 21:35. Firma poinformowała, że skontaktuje się bezpośrednio z poszkodowanymi użytkownikami.
Użytkownikom, którzy zainstalowali rozszerzenie lub aktualizację w tym przedziale czasowym, zaleca się odizolowanie hostów, usunięcie nieautoryzowanego klucza SSH i mechanizmów persystencji (zaplanowane zadania, wpisy crontab i LaunchAgent), a także zastąpienie złośliwej wersji najnowszą wydaną – aktualnie jest to 2.1.314. Warto też profilaktycznie zrotować zapisane w zmiennych środowiskowych poświadczenia.
W reakcji na incydent Cursor przeprowadził rotację kluczy, odbudował marketplace po usunięciu złośliwej wersji i podjął współpracę z dostawcą hostingu w celu wyłączenia serwera, z którym łączyło się malware.
Jest to kolejny przykład, jakie zagrożenie niosą za sobą ataki na łańcuch dostaw. W tym przypadku oryginalne narzędzie używane przez wielu użytkowników, stało się dla nich zagrożeniem. W takich sytuacjach dostrzegamy wady automatycznych aktualizacji. Nie oznacza to, że nie warto ich robić, ale polecamy przemyśleć swój model ryzyka (np. rozważyć zachowanie krótkiego odstępu od wydania nowej wersji do jej instalacji).
Źródła:
~Tymoteusz Jóźwiak
