L'éditeur de code basé sur l'intelligence artificielle Cursor a fait l'objet d'un incident de sécurité consistant en la mise à disposition d'une version modifiée et malveillante de la célèbre extension Claude Code d'Anthropic, distribuée via le store d'extensions de Cursor pendant environ 11 heures au mois d'octobre. Cet incident a exposé jusqu'à 5 000 développeurs à des logiciels malveillants visant à installer des portes dérobées persistantes pour des connexions via le protocole SSH.
Les investigations techniques menées par des organismes de sécurité ont révélé que l'extension compromise portait le numéro de version 2.1.313 et qu'elle avait été publiée entre 02h27 et 13h35, heure locale du Pacifique. Selon les rapports, les attaquants ont injecté du code JavaScript malveillant au début du fichier extension.js de l'extension, tout en laissant le code d'origine intact afin de garantir un fonctionnement en apparence normal. Le code malveillant s'exécute ainsi dès le chargement de l'extension, sans nécessiter d'interaction directe de la part de l'utilisateur.
Mécanisme de l'attaque et données ciblées
Lors de son installation sur les systèmes des victimes, l'extension exécute une série d'opérations destructrices comprenant la collecte d'informations détaillées sur le système et l'utilisateur, telles que l'adresse e-mail Git et l'adresse IP publique. Elle procède également à l'ajout d'une clé SSH malveillante sous le contrôle des attaquants et tente d'activer l'accès via le protocole afin d'établir un tunnel inversé, tout en garantissant la persistance de l'exécution grâce à des outils système tels que la fonction LaunchAgent sur macOS ou les tâches planifiées et points de démarrage sous Windows.
L'extension a transmis les données de reconnaissance et l'état de la porte dérobée vers un serveur contrôlé par les attaquants dont l'adresse IP est 134.209.82.225. Malgré la gravité de l'attaque, des chercheurs ont mis en évidence des erreurs de programmation dans la routine de configuration de la connexion, empêchant les attaquants d'obtenir un accès à distance sur de nombreux systèmes concernés en raison de l'échec de l'activation du service SSH sur les appareils où il n'était pas activé au préalable.
Mesures correctives et réponse de la plateforme
À la suite de la découverte de cette faille, la plateforme Cursor s'est empressée de supprimer l'extension malveillante et de suspendre temporairement le store d'extensions afin de procéder à des audits approfondis de l'ensemble des extensions et de renouveler les clés d'accès, tout en collaborant avec l'hébergeur pour couper la connexion avec le serveur des attaquants. L'entreprise a confirmé, par le biais de ses enquêtes internes, qu'aucune autre version ni aucun autre canal de distribution officiel n'avaient été affectés.
Qu'est-ce que cela signifie pour les utilisateurs ?
Il est conseillé aux développeurs ayant téléchargé le paquet durant la fenêtre d'exposition de vérifier si leur système comporte une clé SSH suspecte nommée svc-telemetry, et de prendre des mesures urgentes comprenant l'isolement des appareils concernés, la rotation des secrets et des comptes d'accès, la révocation des sessions actives, ainsi que la reconstruction complète de l'environnement de travail à partir de sauvegardes sûres et fiables afin de garantir l'absence de tout résidu malveillant.