В Cursor Marketplace злоумышленники распространили версию 2.1.313 расширения Claude Code с SSH-бэкдором. Компрометация Claude Code могла затронуть до 5 000 пользователей: вредоносный пакет выдавал себя за легитимное расширение Anthropic, добавлял чужой ключ в ~/.ssh/authorized_keys и пытался обеспечить атакующим постоянный доступ к рабочей машине. Для российских команд, где IDE давно стала точкой входа в репозитории, облака и CI, это очередное напоминание: доверять галочке «официальный издатель» уже недостаточно.
Инцидент произошёл 29 октября 2026 года. По данным The Hacker News, вредоносная сборка была доступна в Marketplace Cursor примерно с 02:27 до 13:35 по тихоокеанскому времени. Cursor временно отключила магазин расширений, чтобы убрать скомпрометированный пакет, и заявила, что свяжется с затронутыми пользователями. Подмена не затронула Microsoft VS Code Marketplace и Open VSX: пользователи, установившие Claude Code из этих каталогов, не считаются пострадавшими.
Ключевая неприятность в том, что это не был клон с похожим названием и подозрительной иконкой. Пакет распространялся под настоящим идентификатором anthropic.claude-code и от имени легитимного издателя. Исследовательница Дженн Гайл из OpenSourceMalware сообщила, что в основной JavaScript-бандл расширения перед штатным кодом вставили 66 строк загрузчика. Каким именно способом атакующие получили возможность опубликовать обновление, пока не раскрывается. Но для расследования это принципиальная деталь: речь идёт не о фишинге разработчика, а о провале в цепочке поставки расширения.
После запуска VS Code или открытия webview вредоносный код добавлял в файл авторизованных ключей SSH ключ атакующих с пометкой svc-telemetry. Название выбрано с расчётом на беглый аудит: сервисный ключ для телеметрии выглядит гораздо скучнее, чем должен выглядеть бэкдор. Затем расширение пыталось включить локальный SSH-сервис, поднять обратный туннель к адресу 134.209.82[.]225 и закрепиться в системе. Для этого на разных платформах использовались планировщик задач Windows, crontab в Linux и LaunchAgent в macOS.
У атаки есть важное ограничение, но оно не делает её безобидной. Включение SSH-службы на большинстве Windows- и macOS-хостов требует прав администратора, которых у расширения обычно нет. В таких случаях удалённый вход через туннель должен был сорваться. Однако добавление ключа, создание механизмов закрепления и отправка информации о машине происходили и без этого. Расширение отправляло на сервер атакующих незашифрованный HTTP-запрос с именем хоста, локальным пользователем, ОС, архитектурой CPU, домашним и текущим каталогами, публичным IP и глобальным адресом Git из конфигурации.
Отдельно код собирал имена до 40 переменных окружения, содержащих слова KEY, TOKEN, SECRET, PASS, AWS или GCP. Их значения в первоначальный запрос не включались, но и без значений такой список полезен атакующим: он показывает, какие облака, CI-системы и типы секретов используются на хосте. Если SSH-доступ всё же удавался, оператор мог изучить учётную запись напрямую, запускать команды и передавать файлы. Признаков последующей загрузки отдельного вредоносного ПО исследователи пока не обнаружили.
Для команд разработки компрометация Claude Code — повод проверить не только конкретное расширение, но и привычный процесс установки инструментов. Пользователям, которые обновили Claude Code через Cursor в указанное окно, рекомендовано изолировать рабочие станции, проверить authorized_keys, задания планировщика, crontab и LaunchAgent, удалить посторонние механизмы закрепления и сменить пароли, токены, ключи API и активные сессии. Особое внимание стоит уделить машинам с доступом к продакшену, облачным консолям и секретам CI/CD: именно там «всего лишь расширение IDE» быстро превращается в инцидент уровня всей компании.
Anthropic уже выпустила версию 2.1.314 в Open VSX и Microsoft VS Code Marketplace, а вредоносная версия удалена из Cursor. Но самый неудобный вопрос остаётся открытым: как обновление под легитимной идентичностью прошло публикацию в магазине. Расширения для редакторов кода всё чаще получают доступ к терминалу, файлам, Git и учётным данным разработчика — то есть становятся полноценной частью поверхности атаки, а не безобидной настройкой интерфейса. Проверка подписей, контроль источников обновлений и ограничение прав IDE теперь выглядят не как паранойя службы безопасности, а как обычная инженерная гигиена.
