В офіційний Claude Code підсадили троян — під загрозою комп'ютери вайб-кодерів на Windows, Linux та macOS

Вчора системи компанії Anthropic були скомпрометовані. У каталозі розширень Open VSX та маркетплейсі Cursor виявили шкідливу версію офіційного розширення Claude Code для VS Code. Підміна пакета дозволяла зловмисникам встановлювати SSH-бекдор на комп'ютери розробників під управлінням macOS, Linux та Windows. Anthropic не повідомила своїх клієнтів про інцидент, а шкідлива версія розширення була видалена без сповіщення користувачів.

Джерело зображень: Anthropic

Дослідники безпеки з компанії Phorion першими виявили підозрілу активність на кінцевих пристроях: «Phorion виявила бекдор в офіційному розширенні Claude Code для VS Code, який встановлює постійний SSH-бекдор у системах macOS, Linux та Windows. […] Організаціям слід невідкладно перевірити свої робочі середовища на наявність версії 2.1.313 розширення Claude Code для VS Code і, у разі її виявлення, ініціювати процедуру реагування на інциденти».

У повідомленні йдеться про скомпрометовану версію 2.1.313. Вона поширювалася через Open VSX і потрапила в маркетплейс Cursor, але в офіційному Microsoft Visual Studio Marketplace ця версія не з'являлася. Кілька годин тому Anthropic замінила її на версію 2.1.314, а заражену версію видалила. У новій версії бекдор відсутній, а також незалежна перевірка не виявила в ній слідів шкідливого коду. Однак оновлення не видаляє SSH-бекдор з уже заражених систем і не усуває наслідки попередньої активності.

Представники Cursor підтвердили факт інциденту: «Сьогодні ми виявили інцидент безпеки, пов'язаний з конкретним розширенням у маркетплейсі Cursor VS Code — Anthropic.claude-code версії 2.1.313. Ця шкідлива версія розширення не була розроблена компанією Anthropic. Постраждало не більше 5000 користувачів; ми зв'яжемося з ними безпосередньо». Згідно з інформацією від Cursor, виявлене шкідливе розширення:

• Збирає інформацію про хост і користувача: ім'я хоста, ім'я користувача, операційну систему, архітектуру, шлях до домашнього каталогу, назви змінних середовища, робочі директорії, налаштовану електронну адресу для Git та публічну IP-адресу.
• Спробує додати контрольований зловмисником SSH-ключ у файл authorized_keys, увімкнути локальну службу SSH та відкрити зворотний SSH-тунель. Через помилки в шкідливому коді цей етап, як правило, завершується невдачею (за винятком рідкісних випадків, коли Cursor був запущений з правами адміністратора).
• Спробує забезпечити постійне існування зворотного SSH-тунелю за допомогою механізму LaunchAgent (в macOS) або запланованої задачі, яка намагається виконуватися від імені системи (SYSTEM) з резервним запуском через скрипт автозавантаження (в Windows). Фонові скрипти намагаються відновити тунель приблизно кожні 60 секунд.
• Відправляє відомості про хост і стан бекдора за допомогою HTTP-запиту POST на ендпоінт `/beacon` (порт 8099).

Вжиті компанією заходи:

• Шкідлива версія розширення видалена з маркетплейсу, її подальше поширення заблоковано;
• В якості запобіжного заходу тимчасово повністю відключено маркетплейс VSCode;
• Проведено аудит доступу, який підтвердив, що жодні інші розширення не були скомпрометовані;
• Оновлено ключі доступу, маркетплейс пересобрано і відновив роботу;
• Шкідливий сервер завдяки взаємодії з хостинг-провайдером відключено, з'єднання з ним заблоковані.

Хоча в блозі Cursor стверджується, що «ця шкідлива версія розширення не була розроблена компанією Anthropic», насправді вона була завантажена через верифікований акаунт Anthropic. Звісно, сама Anthropic бекдор не створювала — стався інцидент безпеки, що призвів до атаки на ланцюг постачання (supply chain attack).

Нещодавно Anthropic, яка традиційно робить гучні заяви про безпеку моделей ШІ, надала користувачам сервісу Claude Code можливість відключати захисні механізми. У збірці Claude Code v2.1.311 з'явилася підтримка змінної середовища, що дозволяє ІІ-агенту виконувати команду на видалення файлів без запиту підтвердження.

Хочеш дізнатися більше — читай відгуки