Claude Code стал SSH-бэкдором: заражены до 5000 пользователе

Claude Code стал SSH-бэкдором: заражены до 5000 пользователей Cursor

Вредоносная версия расширения Anthropic.claude-code 2.1.313 в магазине Cursor пыталась установить SSH-доступ к ПК разработчиков. Атака длилась менее 12 часов, но оставила фоновые угрозы.

AIРедакция AIKraftавто-обзор источников

2 мин чтения·источник: Securitylab

Суть атаки: от сбора данных до SSH-туннеля

29 октября 2026 года в магазине расширений Cursor была распространена подменённая версия пакета Anthropic.claude-code 2.1.313. Вредоносный код был встроен в файл extension.js перед основным функционалом. Атака срабатывала автоматически при загрузке расширения, не требуя взаимодействия пользователя с ИИ.

Злоумышленники использовали цепочку поставок для сбора разведданных и установки постоянного доступа. Сценарий включал два этапа:

Сбор информации: вредонос извлекал имя хоста, пользователя, ОС, архитектуру CPU, пути к рабочим каталогам, email из Git-конфига и внешний IP. Данные отправлялись на сервер атакующего через порт 8099 по протоколу HTTP.
Установка бэкдора: скрипт пытался добавить SSH-ключ с пометкой svc-telemetry в файл authorized_keys, запустить SSH-сервер и создать обратный туннель.

Почему атака была частично неудачной, но опасной

Несмотря на то, что попытка открыть удалённый доступ через SSH провалилась на большинстве систем (из-за отсутствия прав администратора на macOS/Windows и ошибок в коде), вредоносные механизмы остались в системе. Злоумышленники создали фоновые задачи для повторных попыток подключения:

ОС	Механизм persistence	Частота попыток
macOS	LaunchAgent	~1 раз в минуту
Windows	Планировщик задач / автозагрузка	~1 раз в минуту

Это означает, что даже после удаления самого расширения, «заражённые» фоновые процессы могли продолжать пытаться соединиться с сервером злоумышленников.

Масштаб и реакция индустрии

По данным компании StepSecurity, обнаружившей инцидент, под угрозой оказались не более 5000 пользователей. Вредоносная сборка была доступна в магазине Cursor с 09:27 до 20:35 UTC 29 октября. Anthropic подтвердила, что не выпускала эту версию.

Компания Cursor оперативно отреагировала:

Удалила заражённый пакет и временно отключила магазин расширений.
Сменила ключи и пересобрала площадку.
Вместе с облачным провайдером заблокировала сервер злоумышленников, сделав отправку данных и установку туннелей невозможными.

Что делать разработчикам

Простое удаление расширения не гарантирует безопасность. Cursor рекомендует:

Проверить файл authorized_keys на наличие ключей с пометкой svc-telemetry.
Запустить скрипты очистки, опубликованные компанией для macOS и Windows.
Изолировать компьютер и сменить учётные данные, если обнаружены следы атаки.

Инцидент подтверждает уязвимость экосистем IDE перед атаками на цепочку поставок, подобно взлому расширения Nx Console в VS Code в мае 2026 года.

Источник: Securitylab ↗