В официальный Claude Code подсадили троян — под угрозой компьютеры вайб-кодеров на Windows, Linux и macOS

Вчера системы компании Anthropic были скомпрометированы. В каталоге расширений Open VSX и маркетплейсе Cursor обнаружили вредоносную версию официального расширения Claude Code для VS Code. Подмена пакета позволяла злоумышленникам устанавливать SSH-бэкдор на компьютеры разработчиков под управлением macOS, Linux и Windows. Anthropic не уведомила своих клиентов об инциденте, а вредоносная версия расширения была удалена без оповещения пользователей.

Источник изображений: Anthropic

Исследователи безопасности из компании Phorion первыми обнаружили подозрительную активность на конечных устройствах: «Phorion выявила бэкдор в официальном расширении Claude Code для VS Code, который устанавливает постоянный SSH-бэкдор в системах macOS, Linux и Windows. […] Организациям следует незамедлительно проверить свои рабочие среды на наличие версии 2.1.313 расширения Claude Code для VS Code и, в случае её обнаружения, инициировать процедуру реагирования на инциденты».

Речь в сообщении идёт о скомпрометированной версии 2.1.313. Она распространялась через Open VSX и попала в маркетплейс Cursor, но в официальном Microsoft Visual Studio Marketplace эта версия не появлялась. Несколько часов назад Anthropic заменила её на версию 2.1.314, а заразную версию удалила. В новой версии бэкдор, отсутствует, а также независимая проверка не выявила в нём следов вредоносного кода. Однако, обновление не удаляет SSH-бэкдор из уже заражённых систем и не устраняет последствия предшествовавшей активности.

Представители Cursor подтвердили факт инцидента: «Сегодня мы выявили инцидент безопасности, связанный с конкретным расширением в маркетплейсе Cursor VS Code — Anthropic.claude-code версии 2.1.313. Эта вредоносная версия расширения не была разработана компанией Anthropic. Пострадало не более 5000 пользователей; мы свяжемся с ними напрямую». Согласно информации от Cursor, обнаруженное вредоносное расширение:

• Собирает информацию о хосте и пользователе: имя хоста, имя пользователя, операционную систему, архитектуру, путь к домашнему каталогу, названия переменных окружения, рабочие директории, настроенный адрес электронной почты для Git и публичный IP-адрес.
• Пытается добавить контролируемый злоумышленником SSH-ключ в файл authorized_keys, включить локальную службу SSH и открыть обратный SSH-туннель. Из-за ошибок во вредоносном коде этот этап, как правило, завершается неудачей (за исключением редких случаев, когда Cursor был запущен с правами администратора).
• Пытается обеспечить постоянное существование обратного SSH-туннеля с помощью механизма LaunchAgent (в macOS) или запланированной задачи, которая пытается выполняться от имени системы (SYSTEM) с резервным запуском через скрипт автозагрузки (в Windows). Фоновые скрипты пытаются восстановить туннель примерно каждые 60 секунд.
• Отправляет сведения о хосте и состоянии бэкдора посредством HTTP-запроса POST на эндпоинт `/beacon` (порт 8099).

Предпринятые компанией меры:

• Вредоносная версия расширения удалена из маркетплейса, её дальнейшее распространение заблокировано;
• В качестве меры предосторожности временно полностью отключён маркетплейс VSCode;
• Проведён аудит доступа, который подтвердил, что никакие другие расширения не были скомпрометированы;
• Обновлены ключи доступа, маркетплейс пересобран и возобновил работу;
• Вредоносный сервер благодаря взаимодействию с хостинг-провайдером отключён, соединения с ним заблокированы.

Хотя в блоге Cursor утверждается, что «эта вредоносная версия расширения не была разработана компанией Anthropic», по факту она была загружена через верифицированный аккаунт Anthropic. Разумеется, сама Anthropic бэкдор не создавала — произошёл инцидент безопасности, приведший к атаке на цепочку поставок (supply chain attack).

Недавно Anthropic, которая традиционно делает громкие заявления о безопасности моделей ИИ, предоставила использующим сервис Claude Code разработчикам возможность отключать защитные механизмы. В сборке Claude Code v2.1.311 появилась поддержка переменной окружения, позволяющей ИИ-агенту выполнять команду по удалению файлов без запроса подтверждения.