Falsk Claude Code-udvidelse i Cursor forsøgte at åbne bagdør til brugeres computere

Programmeringsværktøjet Cursor har advaret om en ondsindet udvidelse, der udgav sig for at være Claude Code. Udvidelsen lå i Cursors marked for udvidelser og forsøgte at give angribere adgang til brugeres computere udefra. Cursor oplyser, at Anthropic ikke har udviklet den ondsindede udvidelse.

Hvad skete der?

Ifølge Cursors egen sikkerhedsmeddelelse lå udvidelsen i markedet den 29. oktober 2026 fra cirka klokken 2.27 til 13.35 Pacific Time. Det svarer til omkring 11 timer. Cursor har opdateret meddelelsen 30. oktober og nævner nu to berørte versioner, 2.1.312 og 2.1.313, til Windows og macOS. BleepingComputer og Techzine nævner kun version 2.1.313, hvilket afspejler en tidligere opgørelse.

Op til 5.000 brugere kan have været berørt, ifølge BleepingComputer og Techzine. Cursors meddelelse oplyser ikke, hvor mange der hentede versionerne.

Hvad forsøgte malwaren?

Malwaren indsamlede oplysninger om computeren, blandt andet værtsnavn, brugernavn, styresystem, Git-e-mail, offentlig IP-adresse og navne på miljøvariabler.

Derefter forsøgte den at lægge en nøgle til angriberen, mærket svc-telemetry, ind i filen authorized_keys, slå SSH til og oprette en omvendt tunnel til en bestemt IP-adresse. SSH er en måde at styre en computer på afstand, og nøglen ville lade angriberen logge ind uden kodeord. For at overleve en genstart forsøgte malwaren at oprette sig selv som en fast opgave på både macOS og Windows og forsøgte at forbinde cirka hvert 60. sekund.

Ifølge BleepingComputer manglede angriberne administratorrettigheder på de fleste systemer, og kodefejl forhindrede sandsynligvis fjernadgang på mange Windows- og macOS-computere.

Cursors reaktion og råd

Cursor fjernede udvidelsen, tog midlertidigt hele markedspladsen offline og skiftede nøgler. Sammen med hostingudbyderen fik Cursor også angriberens server taget ned. Cursor oplyser, at serveren ikke længere fungerer. Der er ifølge BleepingComputer ikke fundet tegn på, at andre udvidelsesversioner eller Anthropics officielle distribution var berørt.

Cursor anbefaler, at brugere kører valideringsscripts for at finde svc-telemetry-nøglen, isolerer berørte maskiner, kører oprydningsscripts til deres platform og skifter alle adgangskoder og nøgler, som maskinerne havde adgang til.

Hvordan angriberne fik udvidelsen publiceret under Anthropics navn, er ikke forklaret.