In de extensie-marketplace van Cursor stond gisteren ruim elf uur een gemanipuleerde versie van de Claude Code-extensie van Anthropic. Die probeerde een persistente SSH-backdoor te installeren. Maximaal 5.000 gebruikers zijn getroffen. Cursor haalde de marketplace uit voorzorg volledig offline.
Het gaat om versie 2.1.313 van het pakket Anthropic.claude-code. Volgens Cursor is deze versie niet door Anthropic ontwikkeld. Het kwaadaardige pakket stond op 29 oktober in de VS Code-extensiemarketplace van de AI-code-editor. Cursor neemt zelf contact op met de getroffen gebruikers.
Na de ontdekking verwijderde Cursor de versie en blokkeerde het verdere distributie. Daarna ging de complete marketplace plat. Het bedrijf controleerde de toegang, roteerde zijn sleutels en bouwde de marketplace opnieuw op voordat die weer online kwam. Andere extensies zijn volgens Cursor niet gemanipuleerd. Er is ook geen bewijs gevonden dat andere versies van de extensie of de officiële distributie zijn getroffen.
Backdoor via reverse SSH-tunnel
Eerst verzamelde de code gegevens over het systeem: hostname, gebruikersnaam, besturingssysteem, het geconfigureerde Git-e-mailadres, namen van omgevingsvariabelen en het publieke IP-adres. Vervolgens voegde de extensie een SSH-sleutel van de aanvaller, met het label svc-telemetry, toe aan authorized_keys. Daarna probeerde ze de lokale SSH-service aan te zetten en een reverse SSH-tunnel naar de aanvaller te openen.
Op macOS moest een LaunchAgent die tunnel persistent maken. Op Windows ging het om een scheduled task die als SYSTEM probeert te draaien, met een opstartscript als terugvaloptie. Achtergrondscripts probeerden de verbinding ongeveer elke 60 seconden opnieuw op te zetten.
Toch lijkt de daadwerkelijke toegang beperkt. Het inschakelen van SSH vereist adminrechten, die de extensie op de meeste macOS- en Windows-systemen niet heeft. Bovendien bevatte de kwaadaardige code fouten. Alleen als Cursor met administratorrechten was gestart, kon die stap slagen. Ook haalde Cursor samen met de cloudprovider de server van de aanvaller offline.
Het toevoegen van de sleutel, de persistentie en het doorsturen van hostgegevens werkten wel. Cursor waarschuwt dat het de-installeren van de extensie mogelijk niet genoeg is, omdat de payload losse scripts achterlaat die blijven draaien. Met een grep-commando op macOS of een PowerShell-script op Windows controleren gebruikers of de svc-telemetry-sleutel aanwezig is. Wordt die gevonden, dan adviseert Cursor de machine te isoleren, de remediatiescripts te draaien en credentials en sessies vanaf een vertrouwd systeem te roteren. Ook moeten beheerders beoordelen of het systeem opnieuw moet worden opgebouwd.