I ricercatori di cybersecurity hanno divulgato un incidente di sicurezza riguardante l'estensione ufficiale Anthropic Claude Code per VS Code, che è stata compromessa sul Marketplace di Cursor per distribuire una backdoor SSH persistente. Il problema è stato tracciato specificamente alla compromissione del Marketplace di Cursor piuttosto che al registro Open VSX, spingendo la piattaforma di coding AI Cursor a mettere temporaneamente offline il proprio servizio per rimuovere il malware.
Cursor ha confermato che l'incidente ha colpito al massimo 5.000 utenti che hanno installato la versione malevola tra le 2:27 e le 13:35 PT del 29 ottobre 2026. L'azienda ha dichiarato che l'estensione malevola non è stata sviluppata da Anthropic e non impatta altre estensioni disponibili sul marketplace, Grok Bot o altri prodotti SpaceXAI. Al 30 ottobre 2026, la versione compromessa è stata rimossa e Anthropic ha rilasciato un aggiornamento pulito, versione 2.1.314, sia su Open VSX che sul Marketplace Microsoft VS Code.
Secondo Jenn Gile, co-fondatrice di OpenSourceMalware, il pacchetto malevolo si identificava come anthropic.claude-code versione 2.1.313 ma conteneva un loader di 66 righe inserito prima del codice legittimo. L'estensione è progettata per attivarsi all'avvio di VS Code e quando viene aperto il suo webview, aggiungendo successivamente una chiave SSH controllata dall'attaccante etichettata "svc-telemetry" al file authorized_keys dell'utente per apparire innocua.
Il malware tenta di stabilire un tunnel inverso verso l'indirizzo IP 134.209.82[.]225 su sistemi Windows, Linux e macOS. Installa anche meccanismi di persistenza specifici della piattaforma, inclusi task pianificati, crontab e LaunchAgents, trasmettendo contemporaneamente dati di ricognizione dell'host a un endpoint HTTP non criptato sulla porta 8099. Cursor ha notato che l'abilitazione del servizio SSH locale richiede diritti di amministratore, che l'estensione non possiede sulla maggior parte degli host macOS e Windows; di conseguenza, il passaggio di tunneling spesso fallisce, sebbene l'installazione della chiave e l'esfiltrazione dei dati si verifichino comunque.
I dati esfiltrati includono l'indirizzo IP pubblico, il nome host, il nome utente locale, i dettagli del sistema operativo, l'architettura CPU, la directory home, la directory di lavoro corrente e l'email globale di Git. Inoltre, il malware scansiona fino a 40 nomi di variabili d'ambiente contenenti parole chiave come KEY, TOKEN, SECRET, PASS, AWS o GCP. Il ricercatore di sicurezza Paul McCarty ha sottolineato che, sebbene i valori di queste variabili non vengano inviati direttamente nel primo beacon, i loro nomi possono rivelare i provider cloud configurati e i tipi di credenziali, e un accesso SSH riuscito permetterebbe agli attaccanti di ispezionare direttamente gli account.
Non sono stati osservati payload successivi oltre alla stabilizzazione del tunnel inverso, che fornisce una via per l'esecuzione di comandi o il trasferimento di file. Cursor ha indicato che contatterà direttamente gli utenti colpiti. Le persone interessate sono consigliate di isolare i propri host, rimuovere la chiave SSH non autorizzata e i meccanismi di persistenza, e ruotare tutte le credenziali e le sessioni.
Fonti: The Hacker News.