Компания Cursor удалила вредоносную версию расширения Claude Code от Anthropic со своего рынка расширений после того, как обнаружила, что пакет был модифицирован для установки постоянного бэкдора SSH на компьютерах разработчиков. В уведомлении о безопасности, опубликованном 29 октября, компания Cursor сообщила, что троянизированный пакет, указанный как Anthropic.claude-code версии 2.1.313, не был разработан Anthropic и что пострадало не более 5000 пользователей. По данным Reuters, компания напрямую обращается к этим пользователям.

Это раскрытие является резким напоминанием о том, что разработчики инструментов ИИ-кодирования теперь доверяют свой исходный код, учетные данные и доступ к оболочке, сами по себе являются объектами цепочки поставок. Дополнительную информацию о проблемах безопасности, возникающих вокруг инструментов для разработчиков ИИ, см. в нашем освещении отрасли ИИ.

Двухчасовое окно распространения

Согласно хронологии Cursor, вредоносная версия расширения была доступна на торговой площадке примерно с 2:27 ночи по тихоокеанскому времени до 13:35 по тихоокеанскому времени. 29 октября по тихоокеанскому времени — окно около одиннадцати часов. В течение этого периода любой разработчик, который устанавливал или обновлял расширение Claude Code до версии 2.1.313, получал подделанный пакет, а не код, созданный Anthropic.

Cursor заявила, что удалила вредоносную версию с рынка сразу после обнаружения и заблокировала дальнейшее распространение. Затем компания пошла еще дальше, временно закрыв весь свой рынок расширений из-за, по ее словам, излишней осторожности.

Что сделало вредоносное расширение

Команда безопасности Cursor документировала поведение расширения в необычных подробностях. После установки пакет запускал код, который пытался установить постоянный бэкдор в несколько этапов:

  • Reconnaissance. Расширение собирало имя хоста компьютера, имя пользователя, операционную систему, архитектуру, путь к домашнему каталогу, имена переменных среды, рабочие каталоги, настроенную электронную почту Git и общедоступный IP-адрес.
  • Внедрение ключа SSH. Он попытался добавить SSH-ключ, контролируемый злоумышленником, в файл `authorized_keys` компьютера, включить локальную службу SSH и открыть обратный SSH-туннель обратно на сервер, контролируемый злоумышленником.
  • Постоянство. Фоновые сценарии повторяли обратный туннель примерно каждые 60 секунд. В macOS вредоносная программа пыталась сделать туннель постоянным с помощью LaunchAgent; в Windows он пытался зарегистрировать запланированное задание, выполняемое как СИСТЕМА, с резервным сценарием запуска.
  • Маяк. Зараженная машина сообщала сведения о хосте и статус бэкдора посредством HTTP-запроса POST конечной точке `/beacon` на порту 8099.

Почему ущерб может быть ограничен

Есть два важных смягчающих фактора. Во-первых, для включения локальной службы SSH требуются права администратора, которых вредоносное расширение не имеет на большинстве компьютеров MacOS и Windows. Курсор отметил, что за исключением весьма необычных обстоятельств, когда редактор запускался с правами администратора, ошибки во вредоносном коде приводили к сбою этого шага — то есть злоумышленник, скорее всего, не мог войти в систему через туннель на этих хостах. Однако расширению все же удалось добавить SSH-ключ злоумышленника, установить механизмы сохранения и отправить данные хоста на сервер злоумышленника.

Во-вторых, инфраструктура злоумышленника теперь отключена. Компания Cursor заявила, что сотрудничала с облачным провайдером, на котором размещен сервер управления и контроля, чтобы отключить его, поэтому обратная оболочка и маяк сведений о хосте больше не работают.

Компания также заявила, что у нее нет доказательств того, что какие-либо другие версии расширения или официальные каналы распространения Anthropic были затронуты.

Закрытие, аудит и перестройка торговой площадки

Реакция Cursor не ограничивалась удалением одного плохого пакета. Компания заявила, что провела полную проверку доступа к рынку и подтвердила, что никакие другие расширения не были подделаны, поменяла ключи, восстановила инфраструктуру рынка и снова включила его в сеть. Разработчикам, которые установили или обновили версию 2.1.313 во время периода воздействия, настоятельно рекомендуется следовать шагам по исправлению ситуации и индикаторам компрометации, охватывающим активность SSH, файлы и механизмы сохранения, а также активность процессов, которые Cursor опубликовал вместе со своим уведомлением.

Предупреждающий выстрел для экосистемы инструментов искусственного интеллекта

Этот инцидент иллюстрирует, как экономика развития с помощью ИИ изменила расчеты злоумышленников. Одна-единственная зараженная трояном версия популярного расширения, жившая в течение нескольких часов, потенциально достигла тысяч рабочих станций разработчиков — машин, которые обычно содержат исходный код, облачные учетные данные и доступ к производственным системам.

Также подчеркивается разница между официальными каналами распространения и сторонними торговыми площадками. Расширение Claude Code от Anthropic распространяется по установленным каналам, но Cursor управляет собственной торговой площадкой для своего редактора на основе VS Code, и именно листинг этой торговой площадки был скомпрометирован. Поскольку ИИ-помощники по кодированию становятся стандартным оборудованием во всей индустрии программного обеспечения, целостность реестров, которые их распространяют, сама по себе становится периметром безопасности, который до этой недели проверять сравнительно немногие организации думали.

Для до 5000 пострадавших пользователей первоочередной задачей является выполнение контрольного списка исправлений Cursor. Для всех остальных этот эпизод — повод проверить, какие расширения имеют глубокий доступ к своей среде разработки, и дважды подумать, прежде чем позволить обновлению устанавливаться автоматически.
---

Будьте впереди ИИ

Получайте последние новости, анализ и открытия в области искусственного интеллекта — все в одном месте.

Подробнее новости AI →