Falsk Claude Code-oppdatering nådde tusenvis av utviklere: Hackerne snublet i sin egen kode

I elleve timer kunne utviklere laste ned det som så ut som en vanlig oppdatering av Claude Code gjennom utvidelsesmarkedet i AI-koderedigereren Cursor. Pakken bar riktig utgivernavn, riktig versjonsnummer og installerte den ekte utvidelsen. Problemet var at den også installerte en bakdør.

Cursor opplyser at opptil 5.000 brukere kan ha installert den infiserte oppdateringen før selskapet oppdaget hendelsen og trakk pakken. «Vi identifiserte en sikkerhetshendelse som påvirket en modifisert Claude Code VS Code-utvidelse som ble tilgjengelig gjennom vårt Cursor IDE-utvidelsesmarked, med påvirkning på opptil 5.000 brukere», skriver selskapet. «Denne skadelige versjonen av utvidelsen ble ikke utviklet av Anthropic.»

Angrepet er et klassisk eksempel på et forsyningskjede-angrep: i stedet for å lure utviklere til å laste ned en falsk utvidelse fra et ukjent sted, injiserte angriperne skadelig kode rett inn i en legitim pakke og distribuerte den gjennom den offisielle kanalen.

Snublet i sin egen kode

Det var det USA-baserte sikkerhetsselskapet OpenSourceMalware som avslørte pakken. Analysen fra forsker Paul McCarty identifiserte en 66-linjers kodeblokk som var klistret inn foran selve utvidelsen i hovedfilen `extension.js`. Medgrunnlegger Jenn Gile forklarer at pakken utga seg for å være versjon 2.1.313 av Anthropics offisielle `anthropic.claude-code`-utvidelse, men at «hovedbunten med JavaScript inneholder en skadelig 66-linjers innlaster plassert foran den legitime utvidelseskoden».

Les også: Tesla Model Y havner sist i stor europeisk elbiltest: ADAC anbefaler alt annet

Innlasteren skulle gjøre tre ting: samle inn informasjon om maskinen, legge inn angriperens offentlige SSH-nøkkel, og åpne en revers SSH-tunnel ut til en server på IP-adressen 134.209.82.225.

Siste del er der angriperne gikk i sin egen felle. Reverstunnelen krevde administrator-rettigheter for å kunne åpnes, og Cursor skriver at tunnelen «ville mislykkes utenfor høyst uvanlige omstendigheter der Cursor var startet med administrator-rettigheter, på grunn av feil i den skadelige koden». På Mac og Windows kjører Cursor sjelden med slike rettigheter, så selve bakdørstilgangen virket på svært få maskiner.

Hva angrepet samlet inn

Selv der innlogging via SSH feilet, rakk pakken å kartlegge maskinen. Rescanas tekniske gjennomgang viser at koden sendte vertsnavn, brukernavn, operativsystem, CPU-arkitektur, hjemmekatalog, Git-epostadresse og offentlig IP-adresse tilbake til samme IP-adresse på port 8099.

I tillegg lastet den opp navnene, ikke verdiene, på inntil 40 miljøvariabler som inneholdt ord som «KEY», «TOKEN», «SECRET», «PASS», «AWS» eller «GCP». Angriperne fikk altså en liste over hvilke tilganger som fantes på maskinen, selv om de ikke klarte å stjele selve nøklene i denne omgang.

Les også: Planlegger du vintertur med elbil: Her betaler du dobbelt for lading og det er ikke der du tror

Nøkkelen som ble lagt inn i `~/.ssh/authorized_keys` bar kommentaren `svc-telemetry`, et navn designet for å se ut som en legitim telemetritjeneste for den som skummer gjennom filen sin.

Pakken lå ute i elleve timer

Vinduet var kort. Den skadelige versjonen var tilgjengelig i Cursors utvidelsesbutikk fra omtrent klokken 11.27 til 22.35 norsk tid 29. oktober, før den ble fjernet. Cursor stengte deretter hele utvidelsesmarkedet som forholdsregel.

Anthropic publiserte en ren versjon 2.1.314 av utvidelsen til Open VSX og Microsoft VS Code Marketplace natt til 30. oktober. Forskerne har ikke klart å slå fast hvordan angriperne fikk tilgang til å publisere under Anthropics identitet: utgiverkontoen tilhører en Anthropic-ansatt, men det er uklart om vedkommende ble kompromittert, eller om distribusjonsinfrastrukturen ble hacket.

Hva utviklere bør gjøre

Å oppdatere til 2.1.314 fjerner ikke sporene. Både SSH-nøkkelen og eventuelle persistensmekanismer blir værende på maskinen etter at utvidelsen er byttet ut.

Les også: Strømprisene stiger mot vinteren: Slik bytter du leverandør og sparer tusenvis på fem minutter

Cursor har lagt ut sjekk- og opprydningsskript for Mac og Windows. Konkret bør utviklere som har brukt Claude Code-utvidelsen gjennom Cursor på denne datoen åpne `~/.ssh/authorized_keys` og se etter en nøkkel merket `svc-telemetry`. Finnes den, skal den slettes. Deretter bør alle tokens og passord som har ligget på maskinen roteres, og i verste fall bør maskinen bygges opp på nytt. Dette er samme type forsyningskjede-angrep som rammer AI-verktøy via falske nettsteder, men her kom angrepet gjennom den offisielle butikken.

Les også: Selger du gammel telefon: Fabrikktilbakestilling er ikke nok til å slette dataene dine