Cursor, l’entreprise spécialisée dans les outils de programmation assistés par intelligence artificielle, a annoncé qu’une version altérée de l’extension Claude Code, l’assistant de programmation d’Anthropic, était disponible dans sa boutique d’extensions pendant environ 11 heures le 29 octobre. Selon l’entreprise, au maximum 5 000 utilisateurs l’ont téléchargée.
L’extension malveillante a été publiée entre 2 h 27 et 13 h 35, heure du Pacifique aux États-Unis. Elle se présentait comme la version 2.1.313 d’Anthropic.claude-code, mais Cursor a précisé qu’Anthropic n’en était pas le développeur. Reuters, qui a rapporté l’affaire, a indiqué qu’Anthropic n’avait pas répondu immédiatement à sa demande de commentaire.
Cursor, qui appartient à SpaceX, a déclaré avoir retiré cette version dès sa détection et avoir fermé l’ensemble de la boutique d’extensions par précaution. L’entreprise a ensuite fait pivoter ses clés d’accès, reconstruit la boutique et la rouverte. Elle a affirmé avoir vérifié les autres extensions et qu’aucune n’avait été altérée.
Ce que le programme faisait sur les ordinateurs
D’après l’avis de Cursor, le code malveillant collectait le nom de l’appareil et de l’utilisateur, le système d’exploitation, l’architecture du processeur, le chemin du dossier personnel, les noms des variables d’environnement, l’adresse e-mail configurée dans Git et l’adresse IP publique.
Il tentait également d’ajouter une clé SSH de l’attaquant au fichier des clés autorisées, d’activer le service SSH local (une méthode d’accès à distance) et d’ouvrir un tunnel inversé vers le serveur de l’attaquant. Pour rester actif, il installait des tâches planifiées sous Windows et un agent de démarrage sous macOS, qui retentaient la connexion toutes les 60 secondes.
Cursor a précisé que l’activation du service SSH nécessite des droits d’administrateur, dont l’extension ne dispose pas sur la plupart des systèmes macOS et Windows. Dans ces cas, l’opération échoue et l’attaquant ne peut pas entrer par le tunnel. Néanmoins, la clé restait installée et les données de l’appareil étaient envoyées à l’attaquant.
L’entreprise a ajouté que le serveur de l’attaquant ne fonctionne plus, car elle a travaillé avec le fournisseur de cloud qui l’hébergeait pour le déconnecter. Cursor a déclaré ne pas avoir de preuve que d’autres versions de l’extension ou la distribution officielle d’Anthropic soient affectées.
Comment savoir si un appareil a été affecté
La clé ajoutée par le programme porte l’étiquette « svc-telemetry ». Cursor a publié des commandes pour macOS et Windows qui recherchent cette étiquette dans le fichier des clés autorisées. Si elle apparaît, l’appareil est affecté. L’entreprise a indiqué qu’elle se mettrait directement en contact avec les utilisateurs ayant téléchargé cette version.
Ceux qui l’ont installée doivent isoler l’appareil, supprimer la clé et les mécanismes de persistance, et changer les identifiants auxquels cet appareil avait accès, depuis un système de confiance. Désinstaller l’extension ne suffit pas, avertit Cursor, car le programme laisse des scripts indépendants qui continuent de s’exécuter.
La firma de sécurité StepSecurity, qui a analysé le programme dans un environnement isolé, a indiqué que le code malveillant était un chargeur inséré dans l’extension légitime, environ 7 Ko plus volumineux que la version propre précédente. Elle a ajouté que la manière dont cette version a atteint le registre des extensions reste inconnue : par des identifiants volés ou par un autre moyen.
Jenn Gile, cofondatrice d’OpenSourceMalware, a déclaré à The Hacker News que la version a été retirée rapidement, mais que les utilisateurs ayant activé la mise à jour automatique ont pu recevoir le programme. Paul McCarty, chercheur en sécurité, a affirmé que les noms des variables collectées peuvent révéler quels services cloud et quels types d’identifiants chaque équipe utilise.
Le 30 octobre, Anthropic a publié la version 2.1.314 de l’extension sur Open VSX, le registre ouvert d’extensions utilisé par Cursor et d’autres éditeurs, ainsi que sur la boutique Microsoft. StepSecurity a confirmé que les deux plateformes ne proposent plus la version 2.1.313.