Fałszywe Claude Code w Cursorze: do 5 tys. użytkowników

Cursor wycofała podmienioną wersję rozszerzenia Claude Code (Anthropic.claude-code 2.1.313), która mogła dotknąć do 5 tys. użytkowników.
Wersja była w marketplace 29 października od 6:27 do 17:35 czasu brazylijskiego.
Kod zbierał dane o komputerze i próbował otworzyć atakującemu zdalny dostęp przez SSH.
Według Cursor atak w większości maszyn nie zadziałał, ale firma zaleca sprawdzenie systemu każdemu, kto w tym oknie zainstalował lub zaktualizował rozszerzenie.

Cursor, producent edytora kodu o tej samej nazwie, usunęła ze swojego marketplace'u fałszywą wersję rozszerzenia Claude Code. Według firmy mogła ona dotknąć do 5 tys. użytkowników. Pakiet nie pochodził od Anthropic: podszywał się pod jego rozszerzenie i zawierał kod, który próbował skompromitować komputer każdego, kto go zainstalował.

Okno ekspozycji wyznaczają godziny z komunikatu Cursor. Wersja 2.1.313 wisiała w marketplace od 6:27 do 17:35 29 października czasu brazylijskiego. W Polsce to cztery godziny później, czyli 10:27-21:35 (czas brazylijski jest o 4 godziny za polskim).

Rozszerzenie z oficjalną nazwą w marketplace, ale z podmienioną zawartością

Co robił fałszywy pakiet po instalacji

Oto, co działo się krok po kroku. Najpierw program zbierał informacje o maszynie:

nazwę użytkownika i nazwę komputera,
system operacyjny i architekturę procesora,
katalogi robocze,
e-mail z Gita,
adres IP.

Potem próbował dopisać do komputera klucz SSH kontrolowany przez atakującego, podpisany jako svc-telemetry. SSH to sposób zdalnego logowania do komputera, więc taki klucz działa jak dorobiony duplikat do cudzych drzwi. Tym samym kluczem malware próbował zestawić odwrócony tunel do zewnętrznego serwera. W uproszczeniu: komputer ofiary sam łączy się z serwerem napastnika, a ten dostaje drogę do środka.

Żeby dostęp przetrwał restart, kod instalował mechanizmy trwałości w Windows i macOS. Rutyny próbowały odnawiać połączenie mniej więcej co 60 sekund. Część zebranych danych i stan połączenia trafiały do infrastruktury atakującego.

Darmowy webinar na żywo z Janem Gajosem · w najbliższą środę o 19:00

Czytasz o AI, a w pracy dalej robisz wszystko ręcznie? Znam to.

Sam tak robiłem. Na webinarze pokazuję na swoim ekranie, jak oddać AI powtarzalne zadania: maile, proste automatyzacje, asystenta do pracy. Bez programowania i bez teorii. 90 minut, a na końcu pytasz, o co chcesz.

Link do pokoju przyjdzie mailem. Zapisując się, zgadzasz się na wiadomości e-mail zgodnie z polityką prywatności. Wolisz zacząć od lektury? Zobacz e-booki Jana Gajosa

Dlaczego atak w większości przypadków nie wypalił

Cursor podaje, że kod zawierał błędy i wymagał podwyższonych uprawnień do uruchomienia usługi SSH. Na większości maszyn atak zatrzymywał się więc na braku uprawnień, których edytor nie miał. Większe ryzyko dotyczyło tylko komputerów, na których Cursor dostał uprawnienia administratora lub root.

Po wykryciu incydentu firma, która według Tecnoblogu należy do SpaceX Elona Muska, zdjęła rozszerzenie i na jakiś czas zawiesiła marketplace. Przed ponownym uruchomieniem przebudowała go. Cursor twierdzi, że nie ma dowodów na manipulację innymi pakietami. Potencjalnie poszkodowani mają dostać wiadomość bezpośrednio od platformy.

Klucz atakującego wymagał uprawnień, których większość edytorów nie miała

Nazwa w marketplace to nie gwarancja: jak sprawdzić swój komputer

Etykieta Anthropic.claude-code w sklepie z rozszerzeniami działa jak naklejka z logo na paczce. Mówi, kto ma być nadawcą, ale nie chroni przed podmianą zawartości. Rozszerzenie to kod uruchamiany na Twoim komputerze z Twoimi uprawnieniami, więc im więcej uprawnień dał mu edytor, tym więcej może zrobić. Cursor sam wskazuje maszyny z uprawnieniami administratora lub root jako te z większym ryzykiem.

Temat narzędzi AI do kodu i bezpieczeństwa wraca u nas regularnie. Pisaliśmy już, jak plik AGENTS.md w Download nakłonił Codex i Claude Code do malware, a o roli kontroli człowieka nad agentami w banku piszemy w tekście o PKO BP i agentach AI. O tym, że o zachowaniu agenta decyduje otoczenie wokół modelu, jest tekst o harness engineering.

Jeśli nie programujesz, a rozszerzenie zainstalował Ci kolega z zespołu, ta historia też Cię dotyczy. Nie musisz wiedzieć, co siedzi w Twoim edytorze, ale to jedno możesz sprawdzić od razu.

Cursor zaleca sprawdzenie systemu każdemu, kto zainstalował lub zaktualizował Anthropic.claude-code do wersji 2.1.313 w opisanym oknie, także gdy ryzyko jest mniejsze. Nie czekaj na wiadomość od platformy. Otwórz w edytorze listę zainstalowanych rozszerzeń i sprawdź, czy masz Anthropic.claude-code i kiedy go instalowałeś lub aktualizowałeś. Jeśli pamiętasz to z 29 października, przejdź do komunikatu Cursor (link poniżej) i poszukaj w ustawieniach SSH klucza svc-telemetry. Znalezienie go oznacza, że ta część ataku zadziałała na Twoim komputerze. Pełne kroki weryfikacji i zalecenia znajdziesz w komunikacie bezpieczeństwa Cursor.

Na podstawie: Tecnoblog | Komunikat bezpieczeństwa Cursor