Claude Code: Cursor-Erweiterung mit SSH-Backdoor entdeckt

「Claude Code」拡張機能の操作されたバージョンが、Cursor Marketplace 経由で配布されました。彼女はコンピュータに外部 SSH キーを保存し、攻撃者のサーバーの 1 つへの永続的な接続を確立しようとしました。 Cursor によると、最大 5,000 人のユーザーが影響を受けるという。

発行者の名前を騙った操作された更新

セキュリティ研究者は、Cursor Marketplace に定期更新として出現した、悪意のあるコードを含むバージョンの Claude Code 拡張機能を発見しました。パッケージにはバージョン番号 2.1.313 と実際の発行者識別子 (anthropic.claude-code) がありました。つまり、それは別の偽物ではありませんでした。 Cursor はバージョン 2.1.312 についても言及しており、影響を Windows と macOS に限定しています (Cursor のセキュリティに関する注意)。

Cursor は、バージョンが Anthropic によって開発されたものではないことを明らかにしました。同社は一時的にマーケットプレイスをブロックし、パッケージを削除した。自身の情報によると、アクセスをチェックし、それ以上改ざんされた拡張機能は見つからず、キーを交換してマーケットプレイスを再編成したという。攻撃者がどのようにしてアップデートを注入できたのかはまだ明らかではありません。

OpenSourceMalware の Jenn Gile 氏によると、メインの JavaScript バンドルには、実際の拡張コードの先頭に付加された 66 行のローダーが含まれています。拡張子自体と含まれるバイナリ ファイルはオリジナルと一致し、「extension.js」ファイルのみが異なります (オープンソース マルウェア分析)。

影響を受ける期間と分布

悪意のあるバージョンは、2026 年 10 月 29 日の午前 2 時 27 分頃から午後 1 時 35 分頃 (PT) の間に利用可能になりました。カーソルは影響を受けるユーザーに直接連絡したいと考えています。 Gile 氏は、自動更新が有効になっているインストールでは、そのバージョンがすでにロードされている可能性があると指摘しています。

現時点では、パッケージは Cursor Marketplace 経由でのみ配布されています。 Open VSX と Microsoft の Visual Studio Code Marketplace については、これを示す証拠はありません。 npm パッケージ @anthropic-ai/claude-code も影響を受けないと考えられます。 2026 年 10 月 30 日の時点で、悪意のあるバージョンは削除され、Anthropic は Open VSX および Microsoft Marketplace でバージョン 2.1.314 をリリースしました。

マルウェアの仕組み

VS Code を起動して Web ビューを開くと、拡張機能がアクティブになります。クロードとの会話は必要ありません。モジュールをロードするだけで十分です。インストール スクリプトはありません。拡張機能の実行中に悪意のあるコードが実行されます。

マルウェアは次の手順を実行しようとします。

• 「svc-telemetry」という攻撃者キーを ~/.ssh/authorized_keys ファイルに追加します。
• 彼女はローカル SSH サービスを有効にしようとしています。
• サーバー 134.209.82.225 へのリバース トンネルを設定します。
• システムに応じて、スケジュールされたタスク、crontab エントリ、または LaunchAgent として永続性を設定します。カーソルに従って、バックグラウンド スクリプトは約 60 秒ごとにトンネルの再構築を試みます。
• ホスト探索データは、暗号化されていない状態で HTTP 経由で同じサーバー上のポート 8099 に送信されます。

収集されたデータ

最初のビーコンには次の情報が含まれています。

• パブリック IP アドレス (api.ipify.org 経由で照会)
• ホスト名とローカルユーザー名
• オペレーティング システムと CPU アーキテクチャ
• ホームと現在の作業ディレクトリ
• グローバル Git 電子メール アドレス
• KEY、TOKEN、SECRET、PASS、AWS、GCP などの用語を含む最大 40 個の環境変数の名前

変数の値は送信されません。セキュリティ研究者の Paul McCarty 氏によると、名前から、使用されているクラウド プロバイダー、CI システム、およびアクセス データについて結論を導き出すことができます。 SSH アクセスが確立された場合、攻撃者はアカウントを直接表示することもできます。

効果は限定的、オールクリアは部分のみ

ローカル SSH サービスを有効にするには管理者権限が必要ですが、ほとんどの macOS および Windows システムでは拡張機能には管理者権限がありません。 Cursor はまた、失敗の原因が悪意のあるコードのエラーにあると考えています。攻撃者は、そのようなコンピュータではトンネル経由でログインできませんでした。 SSH キー、永続性、およびホストの詳細の送信は引き続き行われました。

ローダーは追加の実行可能ファイルやスクリプトをロードしません。彼のcurlリクエストは、パブリックIPアドレスに関するテキスト情報のみを取得します。シェル スクリプトとバッチ スクリプト、およびトンネル キーは、拡張機能にすでに含まれているコンテンツから生成されます。アクセスが成功した後の後続のコマンドまたはファイル転送は、静的解析では表示されません。したがって、トンネルは被害者の SSH サービスにアクセスできる可能性が残ります。

Cursor は、ホスティング プロバイダーとともに攻撃者のサーバーをシャットダウンさせました。リバース シェルとホスト詳細の送信は機能しなくなります。

推奨されるアクション

指定された期間中に Cursor Marketplace 経由で Anthropic.claude コード 2.1.312 または 2.1.313 をインストールまたは更新したユーザーは、次の手順を実行する必要があります。

• Cursor が提供するスクリプトを実行して影響を確認します。
• ファイル パス、SSH キー コメント、LaunchAgent ラベル、タスク名、IP アドレス、ハッシュなど、公開されたインジケーターのエンドポイント、ネットワーク、インストール テレメトリを検索します。
• macOS にロードされた LaunchAgents と各ユーザーのauthorized_keys ファイルを確認します。
• 「-R *:0:localhost:22」を使用して長時間実行される ssh または autossh プロセスに注意してください。
• 影響を受けるホストをネットワークから切断し、フォレンジック データを保護し、ポート 22 および 8099 で IP 134.209.82.225 をブロックします。
• 証拠を確保した後でのみ、拡張機能、外部 SSH キー、永続化メカニズム、および進行中のトンネル プロセスを削除します。
• SSH、シェル、プロセス、VS コード、認証、およびネットワークのログを調べて、フォローアップ アクティビティを確認します。
• クリーンなシステムから認証情報とセッションを更新する

Cursor 氏によると、マルウェアは独自の永続化スクリプトを保存しているため、単に拡張機能をアンインストールするだけでは十分ではありません。 ホストを再構築することは、既知のアーティファクトを削除することでシステムの信頼が回復すると考えるよりも安全であると考えられます。記録された変数の数が限られているとしても、アクセス データが後でバックドア経由でアクセスされた可能性を排除することはできません。

未解決の質問

調査されたディレクトリの出所は最終的には明らかにされていません。分析の結果、このパッケージには悪意のあるコードが含まれていることが示されましたが、Anthropic の出版または配布インフラストラクチャが侵害されたことは証明されません。攻撃者の身元、インフラストラクチャの所有者、および正式リリースの可能性の状況も未確認であり、パッケージ名から推測することはできません。

情報源

AllAboutセキュリティの編集

画像：AI生成