Dvije verzije proširenja Claude Code u Cursorovoj prodavnici sadržale su zlonamjerni kod

Ko je 29. oktobra 2026. između 2:27 i 13:35 po pacifičkom vremenu instalirao ili ažurirao Anthropicovo proširenje Claude Code iz prodavnice Cursor VS Code Extension Marketplace na macOS-u ili Windowsu, možda je dobio izmijenjenu verziju. Cursorovo bezbjednosno obavještenje navodi verzije 2.1.312 i 2.1.313. Izmijenjeni kod pokušava da napadaču ostavi skriven pristup računaru (backdoor) preko SSH-a, standardnog protokola za prijavu na udaljeni računar.

Šta izmijenjena verzija radi

Prema analizi kompanije Cursor, zlonamjerni kod najprije prikuplja niz podataka o računaru i njegovom korisniku: ime uređaja, korisničko ime, operativni sistem i arhitekturu procesora, kućni i radne direktorijume, adresu e-pošte podešenu u Gitu, javnu IP adresu i nazive promjenljivih okruženja. Prikupljene informacije zatim šalje na server pod kontrolom napadača.

U sljedećem koraku, kod dodaje napadačev javni ključ u datoteku authorized_keys, koja definiše ko može da se prijavi na računar putem SSH protokola. Zatim pokušava da uspostavi obrnuti SSH tunel - odlaznu vezu između kompromitovanog računara i napadačevog servera, preko koje napadač može da pristupi SSH servisu na napadnutom uređaju.

Kako bi zadržao pristup i nakon ponovnog pokretanja računara, kod uspostavlja mehanizam trajnog izvršavanja. Na macOS-u instalira LaunchAgent, dok na Windowsu kreira zakazani zadatak, a kao rezervnu opciju postavlja skriptu koja se pokreće pri podizanju sistema. Pozadinske skripte pokušavaju da ponovo uspostave SSH tunel približno svakih 60 sekundi.

Ipak, prema Cursorovim navodima, jedan važan korak uglavnom ne uspijeva. Za aktiviranje lokalnog SSH servisa potrebna su administratorska prava, koja zlonamjerno proširenje na većini računara s macOS-om i Windowsom nema. Zbog toga napadač na tim uređajima nije mogao da se prijavi putem uspostavljenog tunela. To, međutim, nije spriječilo ostale faze napada: javni ključ je upisan u sistemsku datoteku, skripte za održavanje pristupa su postavljene, a prikupljeni podaci poslati su na server napadača.

Šta je Cursor uradio i šta još nije objašnjeno

Cursor je uklonio obje zlonamjerne verzije proširenja i obustavio njihovu dalju distribuciju, a zatim privremeno ugasio cijelu prodavnicu. Nakon promjene bezbjednosnih ključeva i ponovne izgradnje prodavnice, kompanija ju je vratila u rad. Cursor navodi da naknadna provjera nije otkrila druga izmijenjena proširenja, kao i da je server napadača ugašen uz pomoć provajdera čiju je infrastrukturu koristio.

Kompanija tvrdi da zlonamjerne verzije nije razvio Anthropic. Međutim, Ars Technica prenosi da su nezavisni istraživač Kevin Beaumont i Luke Roberts iz bezbjednosne kompanije Phorion utvrdili da je izmijenjena verzija objavljena preko Anthropicovog zvaničnog naloga u prodavnici.

Način na koji su napadači došli do pristupa tom nalogu nije objašnjen. Ars Technica je o slučaju izvijestila 30. oktobra 2026. godine, a do objavljivanja teksta ni Cursor ni Anthropic nisu odgovorili na pitanje kako je došlo do kompromitovanja naloga. Prema pisanju tog portala, Anthropic do tada nije ni javno upozorio korisnike. Cursor u svom obavještenju nije naveo koliko je instalacija bilo pogođeno.

Roberts je za Ars Technicu rekao da se proširenja u Cursoru podrazumijevano automatski ažuriraju, iako korisnici tu opciju mogu da isključe u podešavanjima. To znači da su neki od njih mogli da dobiju izmijenjenu verziju proširenja bez ikakve svoje intervencije.

Kako se provjerava računar

Cursorova provjera traži napadačev ključ, označen kao svc-telemetry. Na macOS-u komanda glasi grep -qs svc-telemetry ~/.ssh/authorized_keys, a ako pronađe tu oznaku, računar je pogođen. Za Windows Cursor objavljuje odgovarajuću komandu za PowerShell.

Cursor upozorava da uklanjanje proširenja ne čisti računar, jer zlonamjerni kod ostavlja zasebne skripte koje nastavljaju da rade. Preporuka je da se pogođeni računari izoluju, da se uklone ključ, skripte i procesi tunela i da se procijeni treba li sistem instalirati iznova. Cursor objavljuje i skripte za čišćenje za macOS i Windows, koje se završavaju greškom ako bilo šta ostane.

Poslednji korak je promjena pristupnih podataka i sesija do kojih se moglo doći s pogođenog računara, i to s računara kojem se vjeruje. Proširenje je prikupilo samo imena promjenljivih okruženja, a ne njihove vrijednosti, ali Cursor napominje da to ne isključuje mogućnost da napadač kasnije kroz backdoor dođe do pristupnih podataka.