Une extension Claude Code piégée sur la marketplace de Cursor a installé des portes dérobées SSH chez des développeurs

Une mise à jour malveillante de l'extension Claude Code, l'assistant de programmation d'Anthropic pour les éditeurs dérivés de VS Code, a été diffusée le 29 octobre sur la marketplace de Cursor sous l'identifiant légitime anthropic.claude-code. D'après The Hacker News, la version piégée 2.1.313 a été installée entre environ 2 h 27 et 13 h 35, heure du Pacifique ; Cursor a ensuite brièvement fermé sa marketplace pour la retirer. L'éditeur affirme qu'au plus 5 000 utilisateurs ont été touchés et qu'il les contactera directement.

Ce que faisait le code malveillant

Les chercheurs d'OpenSourceMalware et le chercheur indépendant Paul McCarty ont découvert un chargeur de 66 lignes placé en tête du fichier JavaScript principal de l'extension. Le reste du code correspondait à la version authentique, si bien que l'assistant fonctionnait normalement. Dès le chargement de l'extension, ce code ajoutait une clé contrôlée par l'attaquant, baptisée « svc-telemetry », aux clés SSH autorisées de l'utilisateur, tentait d'activer le service SSH et ouvrait un tunnel inverse vers un serveur externe. Il assurait aussi sa persistance via un LaunchAgent sur macOS, une entrée cron sous Linux ou une tâche planifiée sous Windows.

Le chargeur envoyait en HTTP non chiffré le nom de la machine, l'utilisateur, le système d'exploitation, l'adresse e-mail Git et les noms, sans leurs valeurs, d'au plus 40 variables d'environnement évoquant des identifiants ou des clés cloud. Cursor précise que l'activation de SSH échoue généralement sur macOS et Windows sans droits administrateur, mais que l'ajout de la clé et la persistance s'exécutent malgré tout. Aucune charge supplémentaire n'a été observée.

Périmètre et réaction

Les deux sources indiquent que la compromission est partie de la marketplace de Cursor elle-même. Rien n'indique que la version altérée ait atteint Open VSX, la marketplace VS Code de Microsoft ou le paquet npm @anthropic-ai/claude-code. Cursor déclare que la version malveillante n'a pas été développée par Anthropic, qui a publié une version saine, la 2.1.314. Aucun des deux articles ne cite de déclaration directe d'Anthropic.

Questions ouvertes et recommandations

On ignore encore comment les attaquants ont pu publier sous le nom officiel de l'extension, qui ils sont et si l'accès SSH a été exploité. Les personnes ayant installé l'extension dans Cursor pendant cette fenêtre sont invitées à isoler la machine, supprimer la clé « svc-telemetry » et les mécanismes de persistance, renouveler identifiants et sessions, puis passer à la version 2.1.314 ou ultérieure. La mise à jour automatique ayant pu installer la version piégée sans intervention, il est utile de vérifier quelle version tournait le 29 octobre.