Cursor heeft een kwaadaardige versie van de Claude Code-extensie van Anthropic verwijderd van de extensiemarktplaats nadat hij ontdekte dat het pakket was aangepast om een ​​persistente SSH-backdoor op ontwikkelaarsmachines te installeren. In een veiligheidsmededeling gepubliceerd op 29 oktober zei Cursor dat het getrojaniseerde pakket – vermeld als Anthropic.claude-code versie 2.1.313 – niet door Anthropic was ontwikkeld en dat maximaal 5.000 gebruikers getroffen waren. Volgens Reuters neemt het bedrijf rechtstreeks contact op met deze gebruikers.

De onthulling herinnert ons er op schokkende wijze aan dat de ontwikkelaars van AI-coderingstools die hun broncode, inloggegevens en shell-toegang nu vertrouwen, zelf doelen in de toeleveringsketen zijn. Voor meer context over de veiligheidsdruk rondom AI-ontwikkelaarstools, zie onze AI-industrieverslaggeving.

Een distributievenster van twee uur

Volgens de tijdlijn van Cursor was de kwaadaardige versie van de extensie beschikbaar op de marktplaats tussen ongeveer 02.27 uur PT en 13.35 uur. PT op 29 oktober – een tijdsbestek van ongeveer elf uur. Gedurende die periode ontving elke ontwikkelaar die versie 2.1.313 van de Claude Code-extensie installeerde of updatete naar versie 2.1.313 van de Claude Code-extensie het gemanipuleerde pakket in plaats van de door Anthropic geproduceerde code.

Cursor zei dat het de kwaadaardige versie onmiddellijk na detectie van de markt verwijderde en verdere distributie blokkeerde. Het bedrijf ging vervolgens nog een stap verder en sloot tijdelijk zijn volledige extensiemarktplaats uit wat het omschreef als een overvloed aan voorzichtigheid.

Wat de kwaadaardige extensie deed

Het beveiligingsteam van Cursor documenteerde het gedrag van de extensie tot in ongebruikelijk detail. Eenmaal geïnstalleerd, voerde het pakket code uit die via verschillende fasen probeerde een persistente achterdeur tot stand te brengen:

  • Verkenning. De extensie verzamelde de hostnaam, gebruikersnaam, besturingssysteem, architectuur, pad naar de thuismap, namen van omgevingsvariabelen, werkmappen, geconfigureerde Git-e-mail en openbaar IP-adres van de machine.
  • SSH-sleutelinjectie. Er werd geprobeerd een door de aanvaller bestuurde SSH-sleutel toe te voegen aan het `authorized_keys`-bestand van de machine, de lokale SSH-service in te schakelen en een omgekeerde SSH-tunnel te openen naar een server die wordt beheerd door de aanvaller.
  • Persistentie. Achtergrondscripts probeerden de omgekeerde tunnel ongeveer elke 60 seconden opnieuw. Op macOS probeerde de malware de tunnel persistent te maken via een LaunchAgent; op Windows probeerde het een geplande taak te registreren die werd uitgevoerd als SYSTEEM, met een terugval op het opstartscript.
  • Beaconing. De geïnfecteerde machine rapporteerde hostgegevens en backdoor-status via een HTTP POST-verzoek naar een `/beacon`-eindpunt op poort 8099.

Waarom de schade beperkt kan zijn

Er zijn twee belangrijke verzachtende factoren. Ten eerste zijn voor het inschakelen van de lokale SSH-service beheerdersrechten vereist, die de kwaadaardige extensie niet heeft op de meeste macOS- en Windows-machines. Cursor merkte op dat buiten zeer ongebruikelijke omstandigheden waarbij de editor werd gestart met beheerdersrechten, fouten in de kwaadaardige code ervoor zorgden dat deze stap mislukte, wat betekent dat de aanvaller waarschijnlijk niet via de tunnel op die hosts kon inloggen. De extensie slaagde er echter nog steeds in om de SSH-sleutel van de aanvaller toe te voegen, de persistentiemechanismen te installeren en hostgegevens naar de server van de aanvaller te sturen.

Ten tweede is de infrastructuur van de aanvaller nu offline. Cursor zei dat het samenwerkte met de cloudprovider die de command-and-control-server host om deze te verwijderen, zodat de reverse shell en het host-detailbaken niet langer functioneel zijn.

Het bedrijf verklaarde ook dat het geen bewijs heeft dat andere versies van de extensie of de officiële distributiekanalen van Anthropic zijn getroffen.

Marktplaats afsluiten, controleren en opnieuw opbouwen

De reactie van Cursor ging verder dan het verwijderen van het enkele slechte pakket. Het bedrijf zei dat het een volledige audit van de toegang tot de marktplaats had uitgevoerd en bevestigde dat er niet met andere extensies was geknoeid, de sleutels had gerouleerd, de infrastructuur van de marktplaats opnieuw had opgebouwd en deze weer online had gebracht. Ontwikkelaars die tijdens de blootstellingsperiode versie 2.1.313 hebben geïnstalleerd of geüpdatet, worden dringend verzocht de herstelstappen en indicatoren van compromittering te volgen – met betrekking tot SSH-activiteit, bestanden en persistentiemechanismen, en procesactiviteit – die Cursor naast zijn kennisgeving publiceerde.

Een waarschuwingsschot voor het AI-tooling-ecosysteem

Het incident illustreert hoe de economische aspecten van AI-ondersteunde ontwikkeling de calculus voor aanvallers hebben veranderd. Eén enkele getrojaniseerde versie van een populaire extensie, die enkele uren live was, bereikte mogelijk duizenden werkstations van ontwikkelaars: machines die doorgaans de broncode, cloudreferenties en toegang tot productiesystemen bevatten.

Het benadrukt ook het verschil tussen officiële distributiekanalen en marktplaatsen van derden. De Claude Code-extensie van Anthropic wordt gedistribueerd via gevestigde kanalen, maar Cursor exploiteert zijn eigen marktplaats voor zijn op VS Code gebaseerde editor, en het was de vermelding van die marktplaats die werd gecompromitteerd. Nu AI-coderingsassistenten standaardapparatuur worden in de software-industrie, wordt de integriteit van de registers die ze distribueren een op zichzelf staande beveiligingsperimeter – een grens die tot deze week relatief weinig organisaties dachten te controleren.

Voor de maximaal 5.000 getroffen gebruikers is het doorlopen van de herstelchecklist van Cursor de onmiddellijke prioriteit. Voor alle anderen is de aflevering een reden om te bekijken welke extensies diepe toegang hebben tot hun ontwikkelomgevingen, en om twee keer na te denken voordat je een update stil laat installeren.
---

Blijf AI een stap voor

Ontvang het laatste AI-nieuws, analyses en doorbraken – allemaal op één plek.

Lees meer AI-nieuws →