Cursor odstranil škodlivou verzi rozšíření Anthropic's Claude Code ze svého tržiště rozšíření poté, co zjistil, že balíček byl upraven tak, aby na vývojářské stroje instaloval perzistentní SSH backdoor. V bezpečnostním oznámení zveřejněném 29. října Cursor uvedl, že trojanizovaný balíček – uvedený jako Anthropic.claude-code verze 2.1.313 – nebyl vyvinut společností Anthropic a že se to týká maximálně 5 000 uživatelů. Podle agentury Reuters společnost tyto uživatele oslovuje přímo.

Zveřejnění je otřesnou připomínkou toho, že vývojáři nástrojů pro kódování AI nyní důvěřují svému zdrojovému kódu, přihlašovacím údajům a přístupu k shellu, což jsou samy cíle dodavatelského řetězce. Další kontext o bezpečnostních tlacích vznikajících kolem vývojářských nástrojů AI najdete v našem pokrytí odvětví AI.

Dvouhodinové distribuční okno

Podle časové osy Cursoru byla škodlivá verze rozšíření dostupná na tržišti zhruba mezi 2:27 PT a 13:35. PT 29. října — okno asi jedenácti hodin. Během tohoto období každý vývojář, který nainstaloval nebo aktualizoval na verzi 2.1.313 rozšíření Claude Code, obdržel zfalšovaný balíček spíše než kód vytvořený Anthropic.

Cursor uvedl, že škodlivou verzi okamžitě po zjištění odstranil z trhu a zablokoval další distribuci. Společnost pak šla o krok dále a dočasně uzavřela celý svůj trh rozšíření z toho, co popsala jako nadbytek opatrnosti.

Co udělalo škodlivé rozšíření

Bezpečnostní tým Cursoru zdokumentoval chování rozšíření v neobvyklých podrobnostech. Po instalaci balíček spustil kód, který se pokusil vytvořit perzistentní zadní vrátka v několika fázích:

  • Reconnaissance. Rozšíření shromáždilo název hostitele, uživatelské jméno, operační systém, architekturu, cestu k domovskému adresáři, názvy proměnných prostředí, pracovní adresáře, nakonfigurovaný e-mail Git a veřejnou IP adresu počítače.
  • Vložení klíče SSH. Pokusil se přidat klíč SSH ovládaný útočníkem do souboru `authorized_keys` počítače, povolit místní službu SSH a otevřít zpětný tunel SSH zpět na server ovládaný útočníkem.
  • Perzistence. Skripty na pozadí opakovaly reverzní tunel zhruba každých 60 sekund. V macOS se malware pokusil učinit tunel trvalým prostřednictvím LaunchAgenta; v systému Windows se pokusil zaregistrovat naplánovanou úlohu spuštěnou jako SYSTEM s nouzovým spuštěním skriptu.
  • Beaconing. Infikovaný počítač hlásil podrobnosti o hostiteli a stav zadních vrátek prostřednictvím požadavku HTTP POST na koncový bod `/beacon` na portu 8099.

Proč může být škoda omezena

Existují dva důležité polehčující faktory. Za prvé, povolení místní služby SSH vyžaduje administrátorská práva, která škodlivé rozšíření nemá na většině počítačů macOS a Windows. Cursor poznamenal, že mimo velmi neobvyklé okolnosti, kdy byl editor spuštěn s administrátorskými právy, způsobily chyby ve škodlivém kódu tento krok selhání – což znamená, že útočník se pravděpodobně nemohl přihlásit přes tunel na těchto hostitelích. Rozšíření však stále dokázalo přidat útočníkův klíč SSH, nainstalovat jeho mechanismy perzistence a odeslat podrobnosti o hostiteli na server útočníka.

Za druhé, útočníkova infrastruktura je nyní offline. Cursor uvedl, že to fungovalo s poskytovatelem cloudu, který hostuje server pro příkazy a řízení, aby jej odstranil, takže zpětný shell a maják podrobností o hostiteli již nejsou funkční.

Společnost také uvedla, že nemá žádné důkazy, že by byly ovlivněny jiné verze rozšíření nebo oficiální distribuční kanály Anthropic.

Vypnutí, audit a opětovné sestavení tržiště

Odpověď Cursoru šla nad rámec odstranění jediného špatného balíčku. Společnost uvedla, že provedla úplný audit přístupu na tržiště a potvrdila, že s žádnými dalšími rozšířeními nebylo manipulováno, otočila její klíče, přestavěla infrastrukturu tržiště a uvedla ji zpět online. Vývojáři, kteří nainstalovali nebo aktualizovali verzi 2.1.313 během okna expozice, jsou vyzýváni, aby dodržovali kroky nápravy a indikátory kompromitace – zahrnující aktivitu SSH, soubory a mechanismy perzistence a aktivitu procesu – které Cursor zveřejnil spolu se svým oznámením.

Varovný výstřel pro ekosystém nástrojů AI

Incident ilustruje, jak ekonomika vývoje podporovaného umělou inteligencí změnila kalkulaci útočníků. Jediná trojanizovaná verze oblíbeného rozšíření, která funguje několik hodin, potenciálně zasáhla tisíce vývojářských pracovních stanic – strojů, které obvykle obsahují zdrojový kód, cloudové přihlašovací údaje a přístup k produkčním systémům.

Zdůrazňuje také rozdíl mezi oficiálními distribučními kanály a tržišti třetích stran. Rozšíření Claude Code společnosti Anthropic je distribuováno prostřednictvím zavedených kanálů, ale Cursor provozuje vlastní tržiště pro svůj editor založený na kódu VS a byl to kompromitován seznam tohoto tržiště. Jak se AI kódovací asistenti stávají standardním vybavením v softwarovém průmyslu, integrita registrů, které je distribuují, se stává sama o sobě bezpečnostním perimetrem – takovým, který až do tohoto týdne napadlo auditovat jen relativně málo organizací.

Pro až 5 000 postižených uživatelů je okamžitou prioritou procházení kontrolního seznamu nápravy v Cursoru. Pro všechny ostatní je tato epizoda důvodem k tomu, aby si přečetli, která rozšíření mají hluboký přístup k jejich vývojovému prostředí, a dvakrát si rozmysleli, než necháte aktualizaci nainstalovat tiše.
---

Stay Ahead of AI

Získejte nejnovější zprávy, analýzy a průlomové informace o umělé inteligenci – vše na jednom místě.

Přečtěte si další zprávy o AI →