Oleksandr Kuzmenko, РедакторОпубліковано 4 хв читанняЗа участі AI · перевірено редактором
TL;DR
- Cursor підтвердив поширення шкідливого розширення Claude Code 2.1.313 через власний маркетплейс 29 жовтня.
- Бекдор атакував macOS та Windows, намагаючись впровадити SSH-ключі та встановити зворотні тунелі.
- Аудит журналів Open VSX та npm показав повну відсутність релізу чи видалення версії 2.1.313 у цих реєстрах.
Ключові факти
- Уражена версія розширення
- 2.1.313
- Потенційно скомпрометовано користувачів
- До 5000 (підтверджено вендором)
- Дата інциденту
- 29 жовтня 2026
- Сусідні релізи в Open VSX
- 2.1.312 та 2.1.314
Джерело: Ключові факти — Уражена версія розширення, Дата інциденту
Джерело: Ключові факти. Уражена версія розширення: 2.1.313. Дата інциденту: 29 жовтня 2026. Кожне число скопійоване з історії.
- Уражена версія розширення2.1.313
- Дата інциденту29 жовтня 2026
Вектор атаки та верифікація реєстрів
Початкові звіти вказували на компрометацію Open VSX або npm, однак аналіз 3392 подій у Socket спростував це. Журнал Open VSX зафіксував релізи 2.1.312 та 2.1.314 для всіх восьми платформ, включно з 42 видаленнями інших розширень, але версія 2.1.313 там була відсутня. В офіційному npm-реєстрі для @anthropic-ai/claude-code також немає жодних слідів публікації чи видалення цього тегу.
Локалізація загрози в каталозі Cursor
Cursor підтвердив, що підроблене розширення було доступне користувачам 29 жовтня саме через його внутрішній маркетплейс, торкнувшись до 5000 акаунтів. Пакет містив скрипти для macOS та Windows, що додавали публічні ключі в authorized_keys, відкривали реверсивний SSH-тунель і закріплювалися в системі. Розробники Cursor нейтралізували сервер зловмисників, оновили внутрішні сертифікати й надали індикатори компрометації.
Спробуй за 2 хвилини
npm view @anthropic-ai/claude-code time --jsonКоли використовувати
- Перевірте локальні налаштування SSH та запустіть IOC-скрипти вендора, якщо ви встановлювали Claude Code у Cursor 29 жовтня.
Коли НЕ варто
- Не завантажуйте розширення зі сторонніх каталогів без перевірки автентичності репозиторію та хеш-сум підписів.
Що зробити сьогодні
- Перевірте робочі станції розробників на факт встановлення розширень у Cursor 29 жовтня.
- Перевірте файли authorized_keys та фонові служби на наявність невідомих SSH-ключів і механізмів закріплення.
- Запустіть скрипти очищення від Cursor та зіставте мережеві логи з оприлюдненими IOC.
Назви кроків узяті з блоку «Що зробити сьогодні».
Назви кроків узяті з блоку «Що зробити сьогодні». Перевірте робочі станції розробників на факт встановлення розширень у Cursor 29 жовтня.. Перевірте файли authorized_keys та фонові служби на наявність невідомих SSH-ключів і механізмів закріплення.. Запустіть скрипти очищення від Cursor та зіставте мережеві логи з оприлюдненими IOC.
- Перевірте робочі станції розробників на факт встановлення розширень у Cursor 29 жовтня.
- Перевірте файли authorized_keys та фонові служби на наявність невідомих SSH-ключів і механізмів закріплення.
- Запустіть скрипти очищення від Cursor та зіставте мережеві логи з оприлюдненими IOC.