This post is also available in:
29 октября 2026 года вредоносные модифицированные версии расширения Claude Code, версии 2.1.312 и 2.1.313, были доступны в магазине расширений Cursor в течение примерно 11 часов. Взломленное расширение с идентификатором anthropic.claude-code предназначалось для пользователей macOS и Windows и могло также быть получено через обычное автоматическое обновление. Инцидент был проанализирован Microsoft Security Research, Cursor и независимыми исследователями кибербезопасности.
Что именно было скомпрометировано?Атака не затронула само приложение Cursor, его встроенный чат с искусственным интеллектом или инфраструктуру Anthropic. Вредоносный код распространялся напрямую под видом известного расширения Claude Code на Cursor Marketplace. Компания Microsoft не обнаружила распространения этих пакетов в Visual Studio Marketplace или официальном npm-пакете Клода Кода, однако независимая проверка не выявила никаких доказательств публикации версии 2.1.313 в Open VSX. Точный метод, с помощью которого злоумышленники получили возможность публикации, пока не был обнародован.
Почему автоматическое обновление было опасно? Для пользователя, у которого расширение уже было установлено, скомпрометированная версия могла попасть на его компьютер без дополнительного подтверждения. Это атака на цепочку поставок программного обеспечения: вредоносный код распространяется через доверенный канал обновления. Кроме того, расширение продолжало выполнять свои обычные функции, поэтому пользователь мог не заметить никаких видимых признаков того, что обновление опасно.
Что делал вредоносный код? Код, встроенный в JavaScript-файл расширения, сначала собирал информацию об операционной системе, имени компьютера, пользователе, рабочих каталогах, адресе электронной почты Git и именах переменных окружения, которые могли указывать на ключи API или токены доступа. Затем он пытался добавить открытый SSH-ключ злоумышленника в список авторизованных ключей пользователя, включить службу SSH и установить обратный SSH-туннель. Для обеспечения постоянного доступа использовались LaunchAgent для macOS, запланированные задачи или скрипты автозапуска для Windows, а также механизм cron в Linux.
Была ли атака успешной? Компания Cursor указывает, что ошибки в коде и административные привилегии на большинстве компьютеров macOS и Windows препятствовали полному доступу по SSH. Сервер, использованный в атаке, был отключен. Однако неудачное соединение не означает, что компьютер чист: мог быть добавлен SSH-ключ, созданы компоненты автозапуска и отправлена системная информация. Обновление или удаление расширения не всегда удаляет такие следы.
Что должны делать потенциальные жертвы?Риск в первую очередь касается компьютеров, на которых 29 октября была установлена или автоматически загружена из Cursor Marketplace версия 2.1.312 или 2.1.313. Вам следует проверить историю расширений, авторизованные ключи SSH — особенно запись с идентификатором svc-telemetry, — конфигурации LaunchAgent, запланированные задачи Windows, сценарии автозапуска, записи cron и подозрительные SSH-соединения. При обнаружении признаков взлома компьютер следует изолировать, сохранить доказательства, расследовать инцидент и после очистки изменить все доступные данные.
Ответ Cursor и основные выводы. Cursor удалил скомпрометированные версии, закрыл Marketplace, восстановил свою инфраструктуру, заменил ключи, протестировал другие расширения и опубликовал индикаторы компрометации и инструкции по устранению проблемы. Компания не обнаружила никаких доказательств модификаций других расширений. Этот инцидент показывает, что даже официальный магазин и автоматические обновления не гарантируют безопасность кода. Организациям следует учитывать наличие белых списков, задержки во внедрении новых версий, мониторинг конечных точек, а также возможность быстрого определения того, на каких рабочих станциях установлено конкретное расширение и его версия.
avots: Microsoft Security Research
