Вредоносное расширение в Cursor: попытка установки SSH-бэкдора и методы защиты

29 октября 2026 года представители популярного AI-редактора кода Cursor сообщили об обнаружении критической угрозы в своём магазине расширений. Речь идет о модифицированной версии инструмента Anthropic.claude-code, которая не имела отношения к официальным разработчикам из Anthropic. Программный пакет содержал скрытый код, предназначенный для внедрения устойчивого SSH-бэкдора в операционную систему пользователя. По предварительным оценкам, этот инцидент с безопасностью расширения Anthropic.claude-code затронул до 5000 человек, загрузивших вредоносную версию в течение короткого окна доступности.

Пакет под номером 2.1.313 находился в открытом доступе в Marketplace в период с 02:27 до 13:35 по тихоокеанскому времени (PT). Разработчики Cursor подчеркивают, что напрямую свяжутся со всеми пользователями, чьи системы могли быть скомпрометированы. Основная опасность заключается в том, что вредоносная нагрузка была нацелена на получение глубокого доступа к рабочим станциям программистов, используя доверие к популярному бренду нейросетевых инструментов.

Механизмы работы вредоносного кода

В материалах расследования указано, что модифицированное расширение сразу после установки начинало активный сбор конфиденциальных данных о хосте и пользователе. В список передаваемой информации входили имя хоста, имя пользователя, тип операционной системы и её архитектура, пути к домашним директориям и текущим рабочим папкам. Кроме того, скрипт считывал названия переменных окружения, настроенный в Git адрес электронной почты и публичный IP-адрес машины.

Основная задача вредоноса заключалась в подготовке инфраструктуры для удаленного доступа. Программа пыталась добавить публичный SSH-ключ злоумышленника в файл authorized_keys, активировать локальную службу SSH и инициировать обратный SSH-туннель. Согласно отчету Cursor, в большинстве стандартных сценариев этот этап завершался ошибкой, так как код содержал недоработки, а для активации SSH-службы на macOS и Windows требуются права администратора, которыми расширение обычно не обладает. Тем не менее, даже при неудаче с туннелем, запись ключа в систему и установка механизмов закрепления всё равно происходили.

Для обеспечения постоянного присутствия в системе (persistence) полезная нагрузка использовала специфические для каждой ОС методы. В среде macOS создавался LaunchAgent, а в Windows — запланированная задача, которая пыталась запуститься с правами SYSTEM. В случае неудачи в Windows использовался резервный вариант с размещением скрипта в папке автозагрузки (Startup). Фоновые процессы настроены на повторную попытку создания туннеля каждые 60 секунд, регулярно отправляя отчеты о состоянии бэкдора через HTTP POST-запросы на эндпоинт /beacon (порт 8099).

Реакция разработчиков Cursor

Сразу после обнаружения проблемы администрация Cursor удалила вредоносное расширение из маркетплейса и заблокировала его дальнейшее распространение. В качестве меры предосторожности работа всего магазина расширений была временно приостановлена. В ходе аудита специалисты подтвердили, что другие расширения не подвергались стороннему вмешательству. Чтобы полностью исключить риски, компания провела ротацию ключей, пересборку инфраструктуры маркетплейса и только после этого вернула его в онлайн.

Параллельно велась работа с облачным провайдером, на мощностях которого располагался сервер управления (C2) злоумышленников. В настоящий момент сервер отключен, что делает невозможным получение данных от зараженных хостов или установку обратной оболочки (reverse shell). Подчеркивается, что инцидент затронул исключительно конкретную поддельную версию 2.1.313, и нет никаких доказательств компрометации официальных дистрибутивов или других версий расширений.

Инструкции по проверке системы и очистке

Пользователям, которые устанавливали или обновляли Anthropic.claude-code до версии 2.1.313 в указанный временной интервал, рекомендуется незамедлительно провести проверку систем. В материалах подчеркивается, что простого удаления расширения из интерфейса редактора недостаточно: вредоносная нагрузка оставляет в системе автономные скрипты, которые продолжают функционировать в фоновом режиме. Кроме того, хотя сбор переменных окружения был ограниченным, нельзя исключать риск последующего доступа к учетным данным через установленный бэкдор.

Методика выявления заражения

Первоочередной задачей является поиск публичного ключа атакующего с меткой svc-telemetry в файлах авторизации SSH. Владельцам macOS рекомендуется использовать команду grep для проверки файла authorized_keys. Пользователям Windows необходимо выполнить проверку через PowerShell, охватив как пользовательский файл ключей, так и общесистемный файл administrators_authorized_keys, расположенный по пути C:\ProgramData\ssh. Если ключ обнаружен, хост считается скомпрометированным.

Применение официальных скриптов очистки

Для автоматизации удаления следов взлома разработчики подготовили специальные сценарии. Скрипт для macOS (remediate-macos.sh) должен запускаться от имени пострадавшего пользователя, а не от root, чтобы корректно очистить пользовательские агенты запуска. Для Windows предусмотрен сценарий remediate-windows.ps1, требующий запуска в сессии PowerShell с правами администратора. Эти инструменты удаляют:

• вредоносное расширение;
• механизмы обеспечения устойчивости (LaunchAgent или запланированные задачи);
• активные процессы туннелирования;
• несанкционированный SSH-ключ злоумышленника.

После завершения работы скрипты сообщат о статусе очистки. Дополнительно рекомендуется сменить все пароли и сессионные токены, к которым мог быть получен доступ с зараженной машины, выполняя эти действия с заведомо чистого устройства.

Технические индикаторы компрометации

Для системных администраторов и специалистов по безопасности опубликован список индикаторов (IoC), позволяющих выявить следы атаки в сетевом трафике или на конечных точках. В частности, модифицированный файл extension.js в папке расширения версии 2.1.313 содержит строки с IP-адресом 134.209.82.225 и упоминание svc-telemetry. Хэш-суммы SHA-256 для вредоносных пакетов VSIX (версии для darwin-arm64 и win32-x64) также доступны для сверки в официальном уведомлении.

Сетевая активность вредоноса характеризуется обращениями к IP 134.209.82.225 по портам 22 (SSH) и 8099 (маяк). Также могут наблюдаться попытки обращения к локальному адресу 127.0.0.1:8099. В системе могут присутствовать файлы LaunchAgent с меткой com.apple.sysmond (на macOS), запланированная задача SysMon или командный файл sysmon.cmd в папке автозагрузки Windows. В логах командной строки могут быть зафиксированы вызовы ssh -N -R, autossh -M 0, а также команды systemsetup -setremotelogin on и установка компонентов OpenSSH Server через PowerShell.

В материале отмечается, что запросы к сервисам ifconfig.me и api.ipify.org сами по себе не являются признаком взлома, так как это легитимные ресурсы для определения внешнего IP, которые вредонос использовал в своих целях.