Złośliwe rozszerzenie Claude Code w Cursorze. Kogo dotyczy i co sprawdzić

Co się stało w marketplace Cursora

Cursor to edytor kodu oparty na Visual Studio Code, popularny wśród programistów pracujących z asystentami AI. Korzysta z własnego marketplace rozszerzeń, który według firmy StepSecurity odzwierciedla rejestr Open VSX. W środę 29 października w tym marketplace pojawiła się wersja rozszerzenia Claude Code, która wyglądała jak oficjalne wydanie, ale zawierała dodatkowy, złośliwy kod.

Cursor opublikował komunikat bezpieczeństwa jeszcze tego samego dnia, a 30 października o 11:30 czasu pacyficznego (19:30 czasu polskiego) uzupełnił go o listę wskaźników naruszenia i doprecyzował, których wersji dotyczy problem. Firma podkreśla, że złośliwych wersji nie przygotowało Anthropic. Anthropic nie wydało własnego oświadczenia w źródłach, które sprawdziliśmy.

Których wersji i systemów dotyczy incydent

Zaktualizowany komunikat Cursora wymienia wersje 2.1.312 i 2.1.313 rozszerzenia Anthropic.claude-code, w odmianach dla macOS na procesorach Apple i dla Windows x64. Wcześniejsze relacje medialne, w tym THE DECODER i Techzine, mówiły tylko o wersji 2.1.313, a StepSecurity uznaje wersję 2.1.312 opublikowaną 27 października za czystą. Przy sprawdzaniu komputera bezpieczniej trzymać się szerszej listy z komunikatu Cursora.

Liczbę do 5 tys. potencjalnie narażonych użytkowników Cursor podał w swoim wpisie w serwisie X, na który powołują się THE DECODER i Techzine. Firma zapowiedziała, że skontaktuje się z nimi bezpośrednio.

• 27 października, 20:26 UTC - w Open VSX pojawia się wersja 2.1.312 (według StepSecurity czysta).
• 29 października, 10:27 czasu polskiego - złośliwa wersja trafia do marketplace Cursora.
• 29 października, 21:35 czasu polskiego - Cursor usuwa wersję i wyłącza marketplace.
• 30 października, 02:07 czasu polskiego - w Open VSX pojawia się czysta wersja 2.1.314.
• 30 października, 19:30 czasu polskiego - Cursor aktualizuje komunikat i listę wersji.

Co robiło zmodyfikowane rozszerzenie

Po uruchomieniu edytora rozszerzenie zbierało nazwę komputera, nazwę użytkownika, system operacyjny i publiczny adres IP, a następnie wysyłało je na serwer atakującego. Dopisywało też klucz SSH atakującego do listy kluczy uprawnionych do logowania, próbowało włączyć usługę SSH i zestawić tunel do zewnętrznego serwera. Na macOS instalowało usługę uruchamianą przy starcie systemu, a na Windows zaplanowane zadanie ze skryptem startowym jako zapasem.

Cursor ocenia, że krok z włączeniem SSH na większości komputerów się nie udawał, bo wymaga uprawnień administratora. Dopisanie klucza, mechanizm trwałości i wysyłka danych mogły jednak zadziałać, dlatego firma zaleca procedurę naprawczą każdemu, kto miał zainstalowaną złośliwą wersję. Serwer atakującego jest już wyłączony.

Jak sprawdzić komputer po instalacji Claude Code w Cursorze

Procedura dotyczy osób, które 29 października instalowały lub aktualizowały rozszerzenie Claude Code w Cursorze na macOS albo Windows. Poniższe kroki streszczają zalecenia z komunikatu Cursora. Szczegółowe skrypty naprawcze dla obu systemów firma udostępnia na swoim blogu.

1. Sprawdź w Cursorze, którą wersję rozszerzenia Claude Code masz zainstalowaną i czy aktualizowała się 29 października. Zaktualizuj ją do wersji 2.1.314 lub nowszej.
2. Sprawdź plik z autoryzowanymi kluczami SSH w katalogu domowym. Cursor wskazuje, że klucz atakującego był opisany etykietą svc-telemetry.
3. Jeżeli znajdziesz ślady naruszenia, odłącz komputer od sieci i uruchom skrypt naprawczy Cursora dla swojego systemu. Usuwa on rozszerzenie, mechanizm trwałości, tunele i klucz atakującego.
4. Z innego, zaufanego urządzenia zmień hasła i tokeny dostępne z zainfekowanego komputera, m.in. do repozytoriów, systemów CI/CD, chmury i rejestrów pakietów.
5. W firmie przekaż sprawę zespołowi bezpieczeństwa. Przy potwierdzonym dostępie z zewnątrz Cursor i StepSecurity zalecają rozważenie ponownej instalacji systemu.

Czego jeszcze nie wiadomo

Najważniejsza niewiadoma to sposób, w jaki zmodyfikowany pakiet trafił do marketplace. StepSecurity pisze, że nie zostało to publicznie ustalone, a relacje różnią się co do tego, czy wersja pojawiła się najpierw w Open VSX, czy tylko w marketplace Cursora. Według StepSecurity złośliwa wersja została usunięta także z Open VSX i z Visual Studio Marketplace Microsoftu.

Nie ma też publicznych danych o tym, ile komputerów faktycznie zostało przejętych. Liczba 5 tys. oznacza górną granicę osób, do których wersja mogła trafić, a nie potwierdzone włamania. Część narzędzi wykrywających, które powstały po incydencie, może dawać fałszywe alarmy, więc pojedyncze trafienie warto zweryfikować ręcznie.

Co incydent oznacza dla zespołów w Polsce

Rozszerzenia asystentów AI działają w edytorze z uprawnieniami użytkownika i mają dostęp do kodu, kluczy i terminala. To czyni je atrakcyjnym celem ataków na łańcuch dostaw oprogramowania, czyli podmiany zaufanego komponentu na zainfekowany. W tym przypadku złośliwa wersja wyglądała jak oficjalne wydanie znanego producenta, więc ostrożność przy wyborze wydawcy nie wystarczała.

W naszej ocenie firmy, które pozwalają programistom korzystać z Cursora lub innych edytorów z rozszerzeniami AI, powinny mieć listę dozwolonych rozszerzeń, kontrolę automatycznych aktualizacji i krótkotrwałe tokeny dostępowe. Incydentu dotyczącego pracowników z Polski, którzy przetwarzają dane osobowe klientów, nie wolno pomijać przy ocenie obowiązku zgłoszenia naruszenia do UODO. Tę decyzję firma powinna podjąć z inspektorem ochrony danych po ustaleniu, czy na komputerze były takie dane.