🖥В магазине расширений Cursor обнаружили вредоносную версию плагина 🤖Claude Code с SS...
🖥В магазине расширений Cursor обнаружили вредоносную версию плагина 🤖Claude Code с SSH-бэкдором D официальном каталоге Cursor Extension Marketplace распространялась вредоносная сборка расширения Anthropic.claude-code версии 2.1.313, затронувшая до 5000 пользователей. Команда Cursor уточнила, что модифицированный пакет не создавался компанией Anthropic, признаков компрометации официального дистрибутива и других версий плагина не обнаружено, а проверка остальных расширений каталога не выявила посторонних изменений. Злоумышленники внедрили вредоносный код в файл extension.js внутри пакетов для macOS (darwin-arm64) и Windows (win32-x64). Скрипт отправлял данные о системе (имя пользователя, ОС, рабочие пути, почту из Git, имена переменных окружения и IP-адрес) на сервер hxxp://134[.]209[.]82[.]225:8099/beacon, добавлял открытый SSH-ключ с меткой svc-telemetry в authorized_keys, настраивал повторные попытки подключения обратного SSH-туннеля примерно каждые 60 секунд через механизмы закрепления (com.apple.sysmond.plist на macOS и задачу SysMon на Windows) и пытался включить локальную службу SSH. Однако на устройствах, где редактор не имел прав администратора, эта операция завершалась ошибкой. «На таких устройствах этот шаг завершается ошибкой, поэтому злоумышленник не смог бы войти в систему через туннель. Тем не менее расширение всё равно добавляет SSH-ключ атакующего, устанавливает механизмы закрепления в системе и отправляет сведения об узле злоумышленнику» — говорится в уведомлении команды Cursor. Разработчики удалили вредоносную версию, перезапустили маркетплейс с ротацией собственных ключей и совместно с провайдером отключили сервер атакующих. Пользователям рекомендовано обновиться до версии 2.1.314, проверить authorized_keys на наличие метки svc-telemetry, а при обнаружении следов компрометации изолировать хост, удалить автономные скрипты закрепления официальными утилитами (remediate-macos.sh или remediate-windows.ps1) и сменить доступные с затронутого устройства учётные данные с доверенного устройства. ✋ @Russian_OSINT