Kártékony Claude Code bővítmény került a Cursor piacterére

Mi történt?

A Cursor biztonsági közleménye szerint október 29-én magyar idő szerint nagyjából 10:27 és 21:35 között az Anthropic Claude Code bővítményének rosszindulatúan módosított változata volt elérhető a Cursor VS Code bővítménypiacán (Cursor). Az érintett verziók a 2.1.312 és a 2.1.313, macOS-re és Windowsra. A Cursor szerint ezeket nem az Anthropic fejlesztette, más bővítményt pedig nem érintett a támadás.

A Phorion biztonsági cég szerint ellátásilánc-támadásról van szó: a támadó a hivatalos terjesztési csatornához fért hozzá, a kártékony 2.1.313 a hivatalos Anthropic fiókon jelent meg (Phorion). Mivel a Cursorban a bővítmények alapértelmezetten automatikusan frissülnek, sokaknál külön kattintás nélkül is felkerülhetett.

Mit csinált a kártékony kód?

• Összegyűjtötte a gép adatait: hostname, felhasználónév, operációs rendszer, home könyvtár, a környezeti változók nevei, a Git e-mail-cím és a publikus IP.
• Megpróbált egy támadói SSH-kulcsot (svc-telemetry címkével) felvenni az authorized_keys fájlba, bekapcsolni a helyi SSH szolgáltatást, majd fordított SSH-alagutat nyitni.
• Tartós jelenlétet épített: macOS-en LaunchAgent, Windowson ütemezett feladat (SysMon) indította újra az alagutat nagyjából percenként.

A Cursor szerint az SSH szolgáltatás bekapcsolása admin jog nélkül a legtöbb gépen elbukott, így a támadó az alagúton keresztül jellemzően nem tudott belépni. A kulcs, a perzisztencia és a gépadatok kiküldése viszont lefutott. A Phorion szerint a környezeti változók nevei alapján a támadó gyorsan felmérhette, hol tárolnak felhőhozzáférést és API-tokeneket. A támadói szervert a Cursor a tárhelyszolgáltatóval közösen lekapcsolta, a piacteret leállította, kulcsot cserélt, majd újraépítve visszaállította.

Mit érdemes most tenni?

Aki az érintett időszakban telepítette vagy frissítette a bővítményt a Cursorban, keresse meg a svc-telemetry kulcsot az authorized_keys fájlban. A Cursor közleményében ehhez macOS és Windows parancs, illetve takarító szkript is van. Ha a kulcs megvan, a gépet izolálni kell, a kulcsot és a perzisztenciát eltávolítani, végül megbízható gépről minden elérhető hitelesítő adatot cserélni. A bővítmény eltávolítása önmagában nem elég, mert a lerakott szkriptek tovább futnak.

Az Ars Technica szerint az Anthropic a cikk megjelenéséig nem adott ki nyilvános figyelmeztetést. Egyik cég sem árulta el, hogyan jutott a támadó a terjesztési csatornához (Ars Technica). Az eset jól mutatja, hogy egy automatikusan frissülő AI kódoló bővítmény a fejlesztői gép teljes jogosultságával fut, ezért ugyanolyan ellátásilánc-kockázat, mint bármely más függőség.