Скомпрометированное расширение Claude Code установило SSH-бэкдор
Официальное расширение Anthropic Claude Code для VS Code было скомпрометировано в реестре Open VSX: вредоносная версия anthropic.claude-code 2.1.313 через маркетплейс Cursor могла затронуть не более 5 000 пользователей. Cursor связывает инцидент с компрометацией своего Marketplace, а Anthropic выпустила исправленную версию 2.1.314 для Open VSX и Microsoft VS Code Marketplace.
Что делало вредоносное расширение
По данным соосновательницы OpenSourceMalware Дженн Гайл, перед штатным кодом расширения был вставлен 66-строчный JavaScript-загрузчик. Он активировался после запуска VS Code и открытия webview.
Загрузчик добавлял контролируемый атакующими SSH-ключ в файл ~/.ssh/authorized_keys. Ключ получил метку svc-telemetry, которая должна была выглядеть как безобидная служебная запись.
Далее код пытался сделать хост доступным по SSH в Windows, Linux и macOS, создавал обратный туннель к адресу 134.209.82[.]225 и устанавливал закрепление в системе. Для этого использовались планировщик задач в Windows, crontab в Linux и LaunchAgent в macOS.
Какие сведения отправлялись
Расширение передавало на 134.209.82[.]225:8099/beacon данные о хосте незашифрованным HTTP-запросом. В перечень входили публичный IP-адрес, имя компьютера, локальное имя пользователя, ОС, архитектура CPU, домашняя и текущая директории, а также глобальный адрес Git из настройки user.email.
Также собирались названия до 40 переменных окружения, содержащих слова KEY, TOKEN, SECRET, PASS, AWS или GCP. Их значения в первоначальный запрос не включались, однако сами имена могли раскрыть используемые облачные провайдеры, CI-системы и типы учётных данных.
Cursor отмечает, что запуск локальной службы SSH обычно требует прав администратора в macOS и Windows, которых у расширения могло не быть. В таких случаях этот шаг завершался ошибкой, но добавление ключа, закрепление и отправка сведений всё равно выполнялись.
Окно риска и действия пользователей
Вредоносная сборка была доступна примерно с 2:27 до 13:35 по тихоокеанскому времени 29 октября 2026 года и была удалена к 30 октября. Cursor пообещала напрямую уведомить затронутых пользователей. Исследователи не наблюдали последующих вредоносных модулей, но обратный туннель мог дать оператору возможность выполнять команды или передавать файлы при доступности SSH.
Инцидент показывает, что риск цепочки поставки затрагивает и инструменты разработки с ИИ: взлом OpenAI с помощью Claude демонстрирует, как модели могут становиться частью сложных сценариев атак. Компаниям стоит изолировать устройства с установленной версией 2.1.313, удалить несанкционированный SSH-ключ и механизмы закрепления, а затем сменить учётные данные и отозвать активные сессии.