Пользователи редактора исходного кода с поддержкой искусственного интеллекта Cursor столкнулись с попыткой атаки на цепочку поставок программного обеспечения. Она заключалась в добавлении вредоносных версий расширения Claude Code от компании Anthropic в специализированный магазин редактора, где они просуществовали около 11 часов до их обнаружения и удаления.
Согласно техническим данным, инцидент затронул версии 2.1.312 и 2.1.313 расширения с идентификатором anthropic.claude-code. По оценкам эксперта по безопасности Кевина Бомонта (Kevin Beaumont), вредоносное ПО могло быть распространено примерно на 5 000 систем разработчиков, работающих на платформах macOS и Windows, до того как оно было удалено.
Механизм атаки и попытки шпионажа
Злоумышленники внедрили код на языке JavaScript, который запускался автоматически сразу после загрузки пакетов расширения в редактор. Первая фаза атаки была сосредоточена на разведке программной среды путем сбора конфиденциальной информации об уязвимой системе, в том числе:
- Имени хоста (Hostname), имени пользователя, типа операционной системы и ее архитектуры.
- Пути к текущему рабочей директории (Working Directory).
- Адреса электронной почты, глобально зарегистрированного в системе контроля версий Git.
Анализ, включая данные, зафиксированные компанией Microsoft, показал, что затем код попытался установить ключ SSH, активировать локальный SSH-сервер на устройстве жертвы и создать обратный SSH-туннель (Reverse SSH Tunnel), позволяющий злоумышленникам обходить межсетевые экраны. Кроме того, были внедрены файлы автозапуска, обеспечивающие сохранение доступа к системе даже после ее перезагрузки.
Неполный успех атаки и меры реагирования
Руководство Cursor подтвердило, что попытка злоумышленников получить контроль над системами через SSH-туннель в большинстве случаев не удалась, поскольку активация локальной службы SSH требует прав администратора (Admin/Root), которых расширение по умолчанию не имеет на большинстве устройств macOS и Windows, что помешало злоумышленникам завершить этап удаленного входа в систему.
В свою очередь, компания Anthropic через своего инженера Феликса Ризберга (Felix Rieseberg) пояснила, что поддельные версии не разрабатывались и не публиковались компанией, а также не размещались в других официальных магазинах, таких как Visual Studio Marketplace, Open VSX или реестр NPM. Во избежание путаницы в номерах версий Anthropic сразу подняла номер своей официальной версии до 2.1.314.
Меры локализации и рекомендации для разработчиков
Платформа Cursor оперативно удалила оба подозрительных расширения и временно приостановила работу магазина для его проверки. Компания также перевыпустила все ключи безопасности и пересобрала среду магазина перед его повторным открытием, одновременно координируя свои действия с провайдером облачного хостинга для отключения управляющего сервера, использовавшегося злоумышленниками.
Компания подчеркнула, что простого удаления расширения из редактора может быть недостаточно для очистки зараженной системы, так как вредоносная нагрузка создает независимые скрипты для закрепления в системе. Cursor предоставила скрипт для сканирования вместе с индикаторами компрометации (IoCs), порекомендовав изолировать потенциально зараженные устройства, удалить неавторизованные ключи SSH, завершить активные туннельные соединения и оценить необходимость полной переустановки системы для гарантии полного удаления следов вредоносного ПО.