Фалшив Claude Code в Cursor е оставял задна врата – проверете компютъра си

Подправено разширение Claude Code, публикувано под името на Anthropic в магазина за разширения на редактора Cursor, е опитвало да остави постоянна SSH задна врата на компютрите на програмистите. Cursor потвърди, че зловредните версии са били достъпни на 29 октомври в продължение на около 11 часа и че не са създадени от Anthropic – а простото деинсталиране не е достатъчно, за да сте спокойни.

Как зловредната версия стигна до програмистите

Cursor е популярен редактор за програмиране с вграден AI, изграден върху VS Code, и има собствен магазин за разширения. Именно там на 29 октомври се появи обновление на Claude Code под легитимния идентификатор anthropic.claude-code. Според предупреждението за сигурност на Cursor версиите са били налични приблизително от 2:27 до 13:35 ч. тихоокеанско време, а компанията е обновила списъка със засегнатите версии на следващия ден.

Как атакуващите са успели да публикуват файла от името на Anthropic, още не е ясно. По данни на BleepingComputer до 5000 разработчици може да са получили зловредната версия. Първоначалните съобщения, че е засегнат и регистърът Open VSX, по-късно бяха коригирани от изследователите от OpenSourceMalware, които първи разкриха атаката.

Cursor премахна версията, временно спря целия си магазин, провери останалите разширения, смени ключовете за достъп и заедно с хостинг доставчика изключи сървъра на атакуващите. „Разширението изпълнява зловреден код, който се опитва да инсталира постоянна SSH задна врата“, пише компанията.

Какво правеше кодът на заразения компютър

Атаката е проста и затова опасна. В началото на основния файл на разширението е вмъкнат зареждащ модул от 66 реда, а останалият код на Claude Code е непокътнат – инструментът продължава да работи нормално. Зловредната част се стартира при зареждането на разширението, без потребителят да прави нищо.

• събира името на компютъра и потребителя, операционната система, домашната директория, имейла от настройките на Git и публичния IP адрес;
• изпраща имената (не стойностите) на променливите на средата, които съдържат думи като KEY, TOKEN, SECRET или AWS;
• добавя SSH ключ на атакуващите в authorized_keys и опитва да включи SSH и да отвори обратен тунел;
• закрепва се чрез LaunchAgent на macOS или планирана задача на Windows и опитва да възстанови тунела приблизително всяка минута.

Добрата новина е, че грешки в кода са ограничили щетите. Включването на SSH изисква администраторски права, които разширението обикновено няма, а според BleepingComputer проверката на macOS и инсталацията на OpenSSH на Windows са били написани така, че просто не сработват. Ключът, механизмът за автоматично стартиране и изпратените данни обаче остават на машината, а именно те дават на атакуващите карта кои компютри си струва да атакуват по-нататък.

Как да проверите компютъра си

Ако ползвате Cursor с Claude Code и разширенията ви се обновяват автоматично, направете проверката, дори да не помните нещо необичайно на 29 октомври.

1. Отворете файла ~/.ssh/authorized_keys на macOS или %USERPROFILE%\.ssh\authorized_keys на Windows. На Windows проверете и C:\ProgramData\ssh\administrators_authorized_keys. Ако видите ред с „svc-telemetry“, машината е засегната.
2. Пуснете официалния скрипт за проверка и почистване от страницата на Cursor – на macOS като обикновен потребител, а на Windows като администратор.
3. Изтрийте непознатия ключ, LaunchAgent или планираната задача и спрете процесите на тунела. Деинсталирането на разширението не премахва нищо от това.
4. Обновете Claude Code поне до версия 2.1.314 и проверете, че 2.1.312 и 2.1.313 вече ги няма в папката с разширения.
5. От друг, чист компютър сменете паролите, токените и API ключовете, до които заразената машина е имала достъп, и прекратете активните сесии.

Ако компютърът е служебен, не почиствайте сами и не мълчете – съобщете веднага на екипа по сигурност. Изтеклите имейли от Git и имена на сървъри са лични и служебни данни, а за много компании у нас това означава преценка дали инцидентът трябва да се докладва по GDPR. Cursor препоръчва при доказано заразяване машината да се преинсталира от чисто копие.

Защо AI инструментите за програмиране станаха мишена

Разширенията за редактори имат същия достъп до файловете и терминала като самия програмист, а AI асистентите обикновено работят с ключове за облачни услуги и достъп до хранилища с код. Това ги прави примамлива цел – атакуващият не пробива сървър, а влиза през инструмента, на който хората имат доверие и който се обновява сам.

Само преди десетина дни хакери удариха OpenCode и източиха чужди AI акаунти, а тази седмица писахме и как фалшиви PS5 емулатори в GitHub крадат пароли. Общото е едно и също: доверието в познато име. Изводът е практичен – където е възможно, сваляйте разширения от официалния магазин на разработчика, следете кой е издателят и не давайте на редактора повече ключове, отколкото задачата изисква.

Още анализи за заплахите около изкуствения интелект има в рубриката AI рискове.