Поддельное расширение Claude Code с бэкдором провисело в маркетплейсе Cursor 11 часов

Что произошло

29 октября 2026 года в маркетплейсе расширений Cursor оказались две версии расширения Anthropic.claude-code — 2.1.312 и 2.1.313. Это были не сборки Anthropic, а изменённые копии с вредоносным кодом под Windows и macOS. Провисели они почти одиннадцать часов: с 02:27 до 13:35 по тихоокеанскому времени.

Как работала атака

• в файл ~/.ssh/authorized_keys добавлялся публичный ключ атакующего с меткой svc-telemetry;
• поднимался обратный SSH-туннель на сервер злоумышленника;
• для закрепления ставился LaunchAgent на macOS или задача по расписанию с попыткой запуска от имени SYSTEM на Windows;
• фоновые скрипты повторяли подключение примерно раз в минуту и отправляли данные о хосте.

Расчёт был на то, что расширение ИИ-ассистента живёт рядом с исходным кодом и доступами к серверам. Но реализация подвела авторов: чтобы туннель заработал, на машине должен быть включён SSH-сервер, а это требует прав администратора. На большинстве хостов шаг просто падал, и войти через туннель атакующий не мог.

Что сделал Cursor

Компания удалила обе версии из каталога, на время полностью выключила маркетплейс, проверила остальные расширения (следов вмешательства не нашла), пересобрала каталог и сменила ключи. Сервер атакующих при содействии хостинг-провайдера отключён. Официальная сборка Anthropic.claude-code, а также версии из Open VSX, Microsoft Marketplace и npm — чистые.

Как проверить свой компьютер

macOS, в терминале:

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "ключ найден" || echo "не затронут"

Windows, в PowerShell:

$files = "$HOME\.ssh\authorized_keys","C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "ключ найден" } else { "не затронут" }

Если ключ найден, его нужно удалить, вычистить механизмы закрепления и остановить туннель — Cursor выложил скрипты remediate-macos.sh и remediate-windows.ps1. Простого удаления расширения может не хватить: полезная нагрузка оставляет самостоятельные скрипты. После очистки стоит сменить пароли и токены, доступные с хоста, а в тяжёлых случаях — переустановить систему.

Вывод

Это классическая атака на цепочку поставок: магазин расширений удобен тем, что одна отравленная загрузка доходит до всех, кто доверяет знакомому имени. ИИ-ассистенты — идеальная маскировка, потому что они работают рядом с кодом и секретами. Практический вывод простой: ставить расширения только из официальных источников, сверять версии и не держать SSH-сервер включённым на рабочей машине без необходимости.

Источники

• Security notice: malicious Anthropic.claude-code versions — Cursor
• A Fake Claude Code Extension Tried to Open a Backdoor to Your PC — Real Python