Официальное расширение Claude Code для VS Code скомпрометировали, чтобы установить постоянный SSH-бэкдор
Первоисточник: https://thehackernews.com/2026/10/official-claude-code-vs-code-extension.html
Исследователи в области кибербезопасности сообщили, что официальное расширение Claude Code от Anthropic было скомпрометировано в реестре Open VSX — его использовали, чтобы устанавливать постоянный SSH-бэкдор на заражённых машинах.
След инцидента ведёт к компрометации маркетплейса Cursor: платформа для ИИ-разработки Cursor на короткое время отключила его, чтобы убрать вредоносное ПО.
«Мы выявили инцидент безопасности, связанный с изменённой версией расширения Claude Code для VS Code, которую скачивали через маркетплейс расширений нашей IDE Cursor. Затронуто не более 5000 пользователей, — заявили в Cursor. — Эта вредоносная версия расширения разработана не Anthropic. Она не затрагивает другие расширения, скачанные с cursor[.]com/marketplace».
«Пакет представляется как anthropic.claude-code версии 2.1.313, но в его основном JavaScript-бандле перед легитимным кодом расширения вставлен вредоносный загрузчик на 66 строк», — рассказала Дженн Гайл (Jenn Gile), соучредитель OpenSourceMalware, в комментарии The Hacker News.
По состоянию на 30 октября 2026 года вредоносная версия удалена, а Anthropic опубликовала 2.1.314 и в Open VSX, и в Microsoft VS Code Marketplace.
Расширение срабатывает после запуска VS Code и при открытии его webview, а затем дописывает в файл ~/.ssh/authorized_keys ключ, контролируемый атакующим. Ключ помечен как «svc-telemetry» — чтобы выглядеть безобидно.
Далее оно пытается сделать жертву доступной по SSH на Windows, Linux и macOS, поднимает обратный туннель на 134.209.82[.]225, закрепляется в системе платформенными средствами (запланированная задача, crontab, LaunchAgent) и отправляет разведданные о хосте на 134.209.82[.]225:8099/beacon — по незашифрованному HTTP.
«Включение локальной службы SSH требует прав администратора, которых у вредоносного расширения на большинстве хостов macOS и Windows нет, — говорится в разборе инцидента от Cursor. — На таких машинах этот шаг не выполняется, и войти через туннель атакующий не смог бы. Но расширение всё равно добавляет ключ атакующего, устанавливает закрепление и отправляет сведения о хосте. Выполните описанные ниже шаги по устранению последствий в любом случае».
- публичный IP-адрес — из api.ipify[.]org;
- имя хоста и локальное имя пользователя;
- операционная система и архитектура процессора;
- домашний каталог и текущий рабочий каталог;
- глобальный git-email — из
git config --global user.email; - имена до 40 переменных окружения, содержащих KEY, TOKEN, SECRET, PASS, AWS или GCP.
«Значения переменных окружения не попадают в первый же beacon напрямую, — отметил исследователь безопасности Пол Маккарти. — Но их имена всё равно могут показать, какие облачные провайдеры, CI-системы и типы учётных данных настроены. И что важнее: получив доступ по SSH, оператор смог бы напрямую осмотреть аккаунт».
Других последующих полезных нагрузок не зафиксировано. При этом обратный туннель открывает путь к SSH-службе жертвы: оператор может отдавать команды и передавать файлы.
«Расширение сняли очень быстро, но у тех, у кого Claude Code настроен на автообновление, вредонос мог успеть установиться», — сказала Гайл.
Cursor сообщил, что инцидент затронул не более 5000 пользователей, установивших вредоносную версию примерно с 2:27 до 13:35 по тихоокеанскому времени 29 октября 2026 года. Компания также пообещала связаться с пострадавшими напрямую.
Тем, кто установил скомпрометированное расширение в этом промежутке, советуют изолировать хосты, удалить несанкционированный SSH-ключ и механизмы закрепления, а также сменить учётные данные и сессии.
Публикация появилась чуть более чем через неделю после того, как неизвестный атакующий подменил релизные бинарники пяти уже опубликованных версий официального CLI OVHcloud («ovh/ovhcloud-cli») на вредоносное ПО для кражи секретов — он загрузил их через аккаунт легитимного контрибьютора OVH («HassenBF»), угнанный в марте 2026 года в рамках операции GlassWorm.