Підмінений Claude Code у Cursor ставив SSH-бекдор

Кого це стосується

Під ризиком лише ті, хто встановив або отримав автооновлення anthropic.claude-code версій 2.1.312 чи 2.1.313 саме з маркетплейсу Cursor. За даними Microsoft, ці пакети не публікувалися у Visual Studio Marketplace і не поширювалися через npm-пакет Claude Code. Anthropic підтвердила Microsoft, що її системи не зламані і цей пакет вона не створювала. Усі наявні докази вказують, що інцидент обмежений маркетплейсом Cursor.

Видалити чи оновити розширення недостатньо. Лоадер записує файли поза каталогом розширення, тому вони залишаються на диску. Відключення сервера, про яке повідомив Cursor, теж не видаляє того, що вже потрапило на машину.

Що шукати на диску

Спершу збережіть докази: пакет розширення, змінені authorized_keys, ключі, скрипти й конфігурацію автозапуску. Чистити варто вже після цього. Артефакти за платформами:

• macOS: ~/Library/LaunchAgents/com.apple.sysmond.plist, ~/.config/.smt, ~/.config/.smtk.
• Linux: запис @reboot із ~/.config/.smt у crontab -l, файли ~/.config/.smt і ~/.config/.smtk.
• Windows: запланована задача SysMon, sysmon.cmd у теці Startup, %USERPROFILE%\.config\smt.cmd і %USERPROFILE%\.config\smtk.
• Усюди: тимчасові файли .stk_ з десятьма hex-символами в назві та процеси ssh або autossh з аргументами -N -R '*:0:localhost:22'.
• Ключ: на macOS і Linux виконайте grep svc-telemetry ~/.ssh/authorized_keys. На Windows перевірте %USERPROFILE%\.ssh\authorized_keys і C:\ProgramData\ssh\administrators_authorized_keys, якщо цей файл існує.
• Мережа: з'єднання з 134.209.82.225.

Як чистити, щоб не зламати своє

• Перш ніж видаляти ключ, звірте його з fingerprint з IOC. Видаляйте лише цей рядок, а легітимні ключі й налаштування remote-development залиште.
• У crontab прибирайте тільки шкідливий @reboot, решту записів не чіпайте.
• Назва SysMon сама нічого не доводить, бо так може називатися й справжній моніторинг. Відкрийте дію, яку запускає об'єкт автозапуску, і видаляйте лише ті, що викликають згенеровані скрипти.
• Якщо маркера svc-telemetry немає, це ще не означає, що машина чиста. Перевірте журнал встановлення, процеси, мережу й автозапуск.
• Cursor опублікував у своєму security notice скрипти перевірки й очищення. Прочитайте їх і їхні вимоги до запуску, перш ніж запускати.
• Після очищення перезавантажте машину, увійдіть у систему і переконайтеся, що тунель і автозапуск не відновилися.

Що лоадер міг і чого не міг

Якщо процес SSH запущений, це ще не означає, що атакувальник отримав доступ. З'єднання мають дозволити і сервер атакувальника, і ваша машина. За словами Cursor, на більшості хостів macOS і Windows SSH-доступ заблокували помилки та вимога прав адміністратора. Водночас ключ, автозапуск і звіт про хост лоадер міг записати й тоді, коли тунель не запрацював. Помилки він приглушує, а розширення продовжує працювати як звичайно, тож зовні ви нічого не помітите.

У звіті лоадер відправляє hostname, логін, ОС, архітектуру, домашній і робочий каталог, глобальний Git email. Крім того, він збирає до сорока назв змінних оточення з KEY, TOKEN, SECRET, PASS, AWS або GCP. Значень змінних він не відправляє. Якщо ж телеметрія показує доступ до облікових даних або довіру до машини не вдається відновити, змініть ключі й відкличте сесії з іншого, чистого пристрою.

Щоб не потрапити в таку ситуацію наступного разу, Cursor радить обмежити розширення схваленими видавцями і налаштувати затримку перед встановленням щойно опублікованих версій.