Подделанное расширение Claude Code в маркетплейсе Cursor поставило SSH-бэкдор

Что подделанное расширение делало сразу после загрузки Node

Отчёт Phorion, опубликованный 30 октября и обновлённый 31 октября, описывает бэкдор в расширении Claude Code for VS Code в том виде, в котором оно распространялось через маркетплейс Cursor. Cursor удалил затронутые сборки. В первоначальном отчёте называлась только версия 2.1.313; в обновлении сказано, что Cursor считает уязвимыми 2.1.312 и 2.1.313 на macOS и Windows.

Вставка в бандл расширения выполняется, как только Node его загружает, без участия пользователя. Она добавляет ключ Ed25519 с пометкой «svc-telemetry» в \~/.ssh/authorized_keys, пытается включить удалённый вход по SSH и открывает обратный SSH-туннель на внешний сервер со встроенным ключом. Закрепление в системе — замаскированный под системный LaunchAgent на macOS, запись cron в Linux или задача планировщика либо скрипт автозапуска в Windows. Маячок передаёт имя компьютера, имя пользователя, публичный IP и названия (не значения) переменных окружения, похожих на учётные данные.

На macOS шаг с удалённым входом для обычного пользователя молча не срабатывает, и это, возможно, ломает входящий путь. Ключ и закрепление всё равно ставятся. Список очистки от Phorion: завершить процессы туннеля, удалить артефакты закрепления и подброшенный ключ, убедиться, что удалённый вход выключен, и сменить учётные данные, если входящий вход уже произошёл.

Anthropic: «это касается только пользователей Cursor»

Феликс Ризеберг, который написал, что комментирует от имени Anthropic, сразу очертил границу:

«Злоумышленник использовал доступ к маркетплейсу Cursor, чтобы опубликовать подделанную копию расширения Claude Code, которую мы не создавали и не публиковали. Версии в наших официальных каналах не затронуты, и это касается только пользователей Cursor.»

Тред не принял эту границу так легко. Комментатор, ответивший на это заявление, указал на метку издателя:

«Расширение Cursor Claude помечено как сделанное Anthropic, поэтому по умолчанию считаешь, что выпустить его могла только команда Anthropic.»

Другие занимались тем, что восстанавливали устройство системы. jitbit, который руководит небольшим самофинансируемым стартапом, подвёл итог того, что показал инцидент: Cursor не использует библиотеку расширений Microsoft, «видимо», и Open VSX тоже, а пользуется собственным маркетплейсом, который никто посторонний проверить не может.

Почему доступ ко всему домашнему каталогу сделал радиус поражения таким широким

Инженер-программист и блогер возразил против самой предпосылки, что такому расширению нужен полный доступ к машине:

«Когда тебя приглашают в гостиную, в спальню тебя не пускают.»

Один читатель описал повседневную привычку без обиняков:

«Все, кто пользуется Claude Code или Codex, по сути каждый день запускали удалённый код (включая меня). Вот вам и «будьте осторожны с curl | bash!».»

Практический вопрос для команды, которая перешла на форк VS Code: из какого реестра тянет этот форк и кто может публиковать под «официальным» именем. По прочтению jitbit, для Cursor ответ — закрытый.