Do 5.000 programera koji koriste uređivač koda Cursor mogli su, u periodu od skoro 11 sati, nesvesno preuzeti zaraženu verziju zvanične ekstenzije Claude Code, pokazuju bezbednosni izveštaji objavljeni krajem ove nedelje.
Incident se dogodio u četvrtak, 29. oktobra, kada je lažna verzija 2.1.313 ekstenzije Claude Code za Anthropicov AI asistent bila dostupna upravo na zvaničnom Anthropicovom nalogu u Cursor Marketplace, tržištu dodataka za taj uređivač koda zasnovan na Visual Studio Code. Paket je bio dostupan od 10:27 do 21:35 po srednjoevropskom vremenu, a širio se automatski jer Cursor po podrazumevanim podešavanjima sam ažurira instalirane ekstenzije. Bezbednosna firma Phorion je 31. oktobra dopunila svoju analizu i naznačila da je zaraženom bila i prethodna verzija, 2.1.312.
Šta je bekdor radio
Prema analizi Phoriona, maliciozni kod se ubacivao na početak fajla extension.js i pokretao čim bi Node.js učitao ekstenziju, pre nego što bi korisnik uopšte otvorio Claude Code panel. Skripta je u fajl ~/.ssh/authorized_keys dodavala sopstveni Ed25519 ključ sa oznakom svc-telemetry, otvarala obrnuti SSH tunel ka spoljnom serveru i, na macOS uređajima, upisivala trajni LaunchAgent da bi se sama pokretala i posle ponovnog pokretanja računara. Ekstenzija je potom slala kratak signal napadačevom serveru sa imenom računara, korisničkim nalogom, operativnim sistemom, email adresom iz Git podešavanja i javnom IP adresom, a izlistavala je i do 40 naziva promenljivih okruženja koje sadrže reči kao KEY, TOKEN, SECRET ili AWS, bez samih vrednosti.
„Reč je o kompromitovanju lanca snabdevanja u kom je napadač dobio pristup zvaničnom distribucionom kanalu", izjavio je za Ars Technica Luk Roberts, tehnički direktor i kosnivač Phoriona. „Zaražena verzija 2.1.313 je objavljena preko zvaničnog Anthropicovog naloga, čime je zamenila prethodnu, 2.1.312. Ekstenzije se u Cursoru podrazumevano ažuriraju same, iako korisnici to mogu da isključe u podešavanjima."
Ko je za šta odgovoran
Cursor je u svom bezbednosnom obaveštenju naveo da je „između oko 2:27 i 13:35 po pacifičkom vremenu tog dana maliciozno izmenjena verzija Anthropicove Claude Code ekstenzije bila dostupna na Cursor VS Code Marketplace" i da „ekstenzija pokreće maliciozni kod koji pokušava da instalira trajni SSH bekdor". Kompanija je, prema izveštaju BleepingComputer, poručila da Anthropic nije napravio zaraženu verziju, uklonila je paket, privremeno zatvorila ceo svoj marketplace radi provere ostalih dodataka i rotacije pristupnih ključeva, i angažovala provajdera hostinga da ugasi napadačev server. Interna istraga Cursora, kako navode, nije pronašla dokaze da su druge verzije ili zvanični kanali distribucije bili pogođeni. Ni Cursor ni Anthropic do objave ovog teksta nisu objasnili kako je napadač dobio pristup Anthropicovom zvaničnom nalogu na Cursor Marketplace-u, što ostaje otvoreno pitanje istrage.
Phorion upozorava da samo deinstaliranje ekstenzije ne uklanja bekdor, jer zaraženi fajlovi ostaju na disku i dalje pokušavaju da održe tunel otvorenim. Korisnicima se savetuje da provere da li se u authorized_keys fajlu nalazi ključ sa oznakom svc-telemetry, da ugase procese tunela, obrišu pomoćne fajlove i rotiraju sve pristupne ključeve i lozinke, a zatim instaliraju verziju 2.1.314 ili novije. Isti savet važi i za programere u Srbiji koji Cursor i Claude Code koriste u svakodnevnom radu, pre svega one koji su ekstenziju instalirali ili im je sistem automatski ažurirao u četvrtak između 10:27 i 21:35 po srednjoevropskom vremenu.
Claude Code se tokom ove godine više puta našao u fokusu nezavisnih istraživača koji prate zaštitu softvera. Anthropic je u avgustu zakrpio šest propusta u sistemu dozvola alata, dok je propust nazvan Plugin4Shell ranije pogodio Claude Code, Codex i Copilot istovremeno. Kompanija je i ranije upozoravala na rizike agentskih AI alata u pogrešnim rukama, uključujući i izveštaj o kineskoj grupi koja je AI koristila za automatizovane hakerske napade.
Do objave ovog teksta, Cursor Marketplace je ponovo dostupan, a zvanična ekstenzija je ažurirana na bezbednu verziju. Pitanje kako je napadač ušao u Anthropicov nalog na toj platformi i da li je reč o kompromitovanoj lozinci, ukradenom tokenu za objavljivanje ili nečem trećem, ostaje nerazjašnjeno.
