veilletech.fr
1 nov. Feed du jour
#01 SÉCURITÉ Faille

Extension Claude Code : backdoor SSH via Cursor

Une extension officielle n'est sûre que si sa marketplace l'est aussi.

Une version piégée de l'extension Claude Code a été servie par la marketplace de Cursor le 29 octobre, sous l'identifiant officiel anthropic.claude-code, à 5 000 utilisateurs au plus. Elle ajoute une clé SSH, tente un tunnel inverse et s'installe durablement. Mettre à jour l'extension ne retire aucune de ces traces.

2 min de lectureintermédiairevidéo 1:31
Partager
Sommaire5 sections
  1. Ce qui se passe
  2. Ce que fait le code
  3. Ce qui limite le risque
  4. Comment s'y prendre
  5. À retenir

Ce qui se passe

Le 29 octobre, entre 2 h 27 et 13 h 35, heure du Pacifique, la marketplace de Cursor a distribué une extension Claude Code modifiée comme une mise à jour normale. Elle portait le vrai identifiant anthropic.claude-code, ce qui explique que l'installation automatique ait pu la récupérer sans intervention.

Cursor parle d'au plus 5 000 utilisateurs. Son avis, d'abord limité à la 2.1.313, vise désormais les versions 2.1.312 et 2.1.313, sous Windows et macOS.

Anthropic déclare que ses systèmes n'ont pas été compromis. Microsoft et Socket n'ont trouvé cette version ni sur le Visual Studio Marketplace, ni sur npm (@anthropic-ai/claude-code), ni sur Open VSX. Sur ces canaux, la dernière version d'Anthropic citée est la 2.1.314. La manière dont l'attaquant a pu publier sous ce nom reste inexpliquée.

Ce que fait le code

Soixante-six lignes placées avant le code légitime s'exécutent au chargement de l'extension :

  1. ajout d'une clé au fichier ~/.ssh/authorized_keys, avec le libellé svc-telemetry ;
  2. tentative d'activation du service SSH local ;
  3. tunnel SSH inverse vers 134.209.82.225 ;
  4. persistance par tâche planifiée (Windows), crontab (Linux) ou LaunchAgent (macOS) ;
  5. envoi en HTTP non chiffré vers 134.209.82.225:8099/beacon.

Cet envoi contient l'adresse IP publique (obtenue via api.ipify.org), le nom d'hôte, l'utilisateur, le système et l'architecture, les dossiers personnel et courant, l'e-mail Git global, et les noms de 40 variables d'environnement au plus contenant KEY, TOKEN, SECRET, PASS, AWS ou GCP. Les valeurs ne figurent pas dans ce premier envoi, mais un accès SSH permettrait de les lire.

Ce qui limite le risque

Activer SSH demande des droits d'administrateur, souvent absents sur macOS et Windows. Là, Cursor indique que l'attaquant ne pouvait pas se connecter par le tunnel. La clé, la persistance et l'envoi des informations ont pourtant lieu. Aucune charge supplémentaire n'a été observée, et Cursor dit avoir renouvelé ses clés, reconstruit la marketplace et fait couper le serveur de l'attaquant.

Comment s'y prendre

Si Cursor a installé l'une de ces versions :

Terminal
grep -n "svc-telemetry" ~/.ssh/authorized_keys
crontab -l | grep -n "134.209.82.225"
ls ~/Library/LaunchAgents/
  1. Isolez la machine et conservez les preuves avant tout nettoyage.
  2. Retirez la clé, les scripts, les identités de tunnel et les entrées de démarrage : selon Microsoft, retirer ou mettre à jour l'extension ne touche pas ce qui a été écrit hors de son dossier.
  3. Renouvelez les identifiants et révoquez les sessions, en commençant par les variables dont le nom a pu partir.

Source : The Hacker News, 30 octobre 2026, mis à jour ensuite, qui s'appuie sur les avis de Cursor et de Microsoft, et sur les analyses de Socket et d'OpenSourceMalware. Source en anglais.