In questo articolo Indice dei contenuti 3 sezioni
Per circa 11 ore, il 29 ottobre 2026, una versione manomessa dell’estensione Claude Code di Anthropic è rimasta disponibile nel marketplace di Cursor, esponendo fino a 5.000 sviluppatori a un malware progettato per installare backdoor SSH persistenti. Il pacchetto riportava il numero di versione 2.1.313 ed è stato distribuito tra le 2:27 e le 13:35 ora del Pacifico.
Cursor è un editor di codice potenziato dall’intelligenza artificiale, costruito partendo da Visual Studio Code, il progetto open source di Microsoft, con cui condivide il supporto alle estensioni. Il componente di Anthropic porta l’assistente Claude direttamente dentro gli editor compatibili e aiuta a scrivere e correggere codice tramite istruzioni in linguaggio naturale. L’azienda ha precisato che Anthropic non ha sviluppato la versione malevola dell’estensione Claude Code, ma non ha chiarito in che modo gli aggressori siano riusciti a diffondere il pacchetto compromesso sotto quel nome.
Come funzionava l’estensione compromessa
Nell’avviso pubblicato, Cursor ha spiegato che la versione modificata esegue codice dannoso nel tentativo di installare una backdoor SSH persistente. I ricercatori di Phorion e OpenSourceMalware hanno scoperto che gli autori dell’attacco avevano inserito un loader JavaScript malevolo all’inizio del file extension.js, lasciando intatto il resto del codice legittimo. Il frammento si attivava al semplice caricamento dell’estensione, senza che fosse necessaria alcuna interazione con Claude Code.
Una volta installato, il malware raccoglieva informazioni sul sistema e sull’utente, compresi l’indirizzo email associato a Git e l’IP pubblico. Aggiungeva poi una chiave SSH controllata dagli attaccanti, provava ad abilitare l’accesso SSH e a stabilire un tunnel inverso. Per garantirsi la persistenza sfruttava un LaunchAgent su macOS oppure un’attività pianificata o uno script di avvio su Windows, ritentando il collegamento all’incirca ogni minuto. I dettagli della macchina e lo stato della backdoor venivano infine inviati al server degli aggressori, all’indirizzo 134.209.82[.]225.
Gli errori che hanno limitato i danni
Secondo Phorion, alcuni errori di programmazione nelle routine di configurazione SSH hanno probabilmente impedito l’accesso remoto a molti sistemi Windows e macOS colpiti. Il malware infatti non riusciva ad attivare SSH sulle macchine dove il servizio non era già in esecuzione, rendendo inutile il tunnel inverso.
Su macOS il codice usava il comando systemsetup per verificare se il Login remoto fosse attivo, ma lo lanciava senza privilegi elevati. Invece dello stato del servizio otteneva quindi un errore di accesso da amministratore e, dato che l’attivazione partiva solo quando l’output conteneva la parola “Off”, quel passaggio veniva saltato del tutto. Su Windows il problema era diverso. Il malware cercava di installare e avviare il server OpenSSH tramite PowerShell, passando però da /bin/sh, una shell Unix assente nelle installazioni standard del sistema Microsoft, con il risultato che la configurazione falliva.
In entrambi i casi il codice riusciva comunque a installare le proprie chiavi, a garantirsi la persistenza e a tentare la creazione del tunnel. Anche senza una backdoor funzionante continuava a spedire al server dati di ricognizione come nome utente, hostname, IP pubblico, email Git e i nomi delle variabili d’ambiente legate a credenziali sensibili. Lo script non sottraeva direttamente le credenziali, segno che probabilmente gli aggressori puntavano a recuperarle a mano dopo essere entrati attraverso il tunnel SSH.
La risposta di Cursor e le indicazioni per gli sviluppatori
Cursor ha rimosso l’estensione malevola e ha chiuso temporaneamente l’intero marketplace per esaminare gli altri componenti e rinnovare tutte le chiavi di accesso prima di riaprirlo. In collaborazione con il provider di hosting ha poi messo offline il server degli attaccanti, interrompendo sia le connessioni SSH inverse sia l’invio dei dati raccolti. Dall’indagine interna non sono emerse prove che altre versioni dell’estensione o la distribuzione ufficiale fossero state coinvolte.
Chi ha scaricato il pacchetto nella finestra di esposizione dovrebbe controllare la presenza sulla propria macchina di una chiave SSH denominata svc telemetry, con un trattino tra le due parole, e seguire le istruzioni di Cursor se la compromissione viene confermata. Per i dispositivi colpiti si raccomanda di isolarli, rinnovare i segreti accessibili, invalidare le sessioni attive e ricostruire l’ambiente partendo da backup sicuri.
Le prime segnalazioni avevano indicato come coinvolti anche npm, Open VSX e il marketplace di Visual Studio Code di Microsoft, ma in seguito è stato confermato che Cursor era l’unica piattaforma a distribuire l’estensione Claude Code alterata. Sull’attacco alla supply chain mancano ancora risposte su come gli aggressori abbiano pubblicato il pacchetto sotto il nome di Anthropic e se i sistemi di Cursor o di Anthropic siano stati violati durante l’incidente.
Fonte: TecnoAndroid