Un incident de sécurité majeur s'est produit impliquant l'extension Claude Code d'Anthropic, qui a été compromise par des attaquants ayant injecté du code malveillant dans la version officielle distribuée via le marché de l'éditeur Cursor. Le chercheur en sécurité Kevin Beaumont a rapporté que l'extension affectée, installée sur des millions de systèmes de développeurs, a été utilisée pour propager un cheval de Troie. La version vulnérable spécifique est identifiée comme la 2.1.313, qui a été retirée du marché Cursor dans les premières heures du 30 octobre et remplacée par la version nettoyée 2.1.314. Malgré le retrait, les systèmes déjà infectés restent à risque.
Bien que l'extension Claude Code soit également disponible sur le VS Code Marketplace et OpenVSX, la compromission semble être isolée à la variante hébergée sur la plateforme Cursor. Selon l'opérateur de la plateforme, la version compromise a atteint un maximum de 5 000 utilisateurs au sein de ce marché spécifique. Des chercheurs en sécurité de Phorion ont été les premiers à détecter l'attaque, notant que l'extension manipulée établit automatiquement un backdoor SSH sur les machines infectées. Cette vulnérabilité accorde aux attaquants un accès aux fichiers stockés localement et au code source sur les systèmes Windows, Linux et macOS.
Beaumont a noté sur Mastodon que le serveur de contrôle des attaquants est maintenant hors ligne ; cependant, il avait précédemment collecté des noms d'hôte, des noms d'utilisateur et d'autres informations système à partir des environnements de développement compromis. Étant donné que l'extension Claude Code est据 rapport utilisée par Binance, les chercheurs spéculent sur une possible connexion entre cette attaque de la chaîne d'approvisionnement et le récent piratage record de l'échange de cryptomonnaies. Les développeurs ayant installé l'extension Claude Code dans Cursor sont vivement invités à vérifier immédiatement si leurs systèmes ont été affectés par la version manipulée.
Tout appareil trouvé en cours d'exécution du logiciel compromis doit être traité comme violé, et des mesures de sécurité appropriées doivent être mises en œuvre. Pour aider à la détection, Beaumont a publié des règles sur GitHub pour Microsoft Defender qui permettent l'identification automatisée des versions affectées de l'extension Claude Code.
Sources: Golem.de.