Скомпрометированное расширение Claude Code появилось на маркетплейсе Cursor в 5:27 утра по восточному времени в четверг и оставалось доступным до 16:35 — за это время его могли установить до 5 000 человек, вручную или через автоматические обновления.¹

По данным независимого исследователя Кевина Бомонта и компании по кибербезопасности Phorian, заражённый релиз версии 2.1.313 распространялся через официальный аккаунт Anthropic в Cursor. Это было не просто мошенническое размещение: технический директор Phorian Люк Робертс назвал случившееся «компрометацией цепочки поставок, при которой злоумышленник получил доступ к официальному каналу распространения».²

После установки расширение собирало обширную информацию о машине разработчика, включая имена хоста и пользователя, операционную систему, путь к домашнему каталогу, публичный IP-адрес, адрес электронной почты Git и имена переменных окружения. Оно также пыталось разместить на устройстве SSH-ключ, контролируемый злоумышленником, включить SSH и создать обратный туннель — путь к постоянному удалённому доступу в Windows, macOS и Linux.²

Исследователи заявили, что из-за ошибок в коде механизм закрепления в некоторых случаях не сработал бы, особенно без прав администратора. Однако Phorian предупредила, что вредоносная программа всё же «устанавливает механизм закрепления и отправляет оператору данные разведки хоста», а украденные имена переменных могут помочь злоумышленникам выявить облачные учётные данные и API-токены для последующих атак.²

Cursor удалила пакет, заблокировала дальнейшее распространение и совместно с соответствующим облачным провайдером добилась того, чтобы заражённые машины больше не могли подключаться к серверу обратной оболочки. Компания также временно отключила свой маркетплейс VS Code, чтобы сменить ключи, проверить механизмы контроля доступа и убедиться, что другие расширения не были изменены; Cursor заявила, что таких не обнаружила.¹

Нерешённым остаётся вопрос о том, как злоумышленник получил контроль над официальным каналом распространения Anthropic. Ни Anthropic, ни Cursor не объяснили эту компрометацию, а Anthropic, согласно сообщениям об инциденте, публично не предупреждала клиентов.²