Объявление Cursor: в период с 2:27 до 1:35 часов (тихоокеанское время) 29 10 версии Anthropic.claude-code 2.1.312 и 2.1.313 (для macOS и Windows) на рынке расширений VS Code были вредоносными модификациями, а не оригинальными разработками Anthropic. При загрузке плагин собирал имя хоста, имя пользователя, данные о системе, домашний каталог, имена переменных окружения, Git-почту и публичный IP-адрес, отправляя их злоумышленнику, записывал SSH-публичный ключ злоумышленника (с комментарием svc-telemetry) в authorized_keys, пытался включить локальный SSH, установить обратный туннель и настроить автозапуск через LaunchAgent или планировщик задач. Cursor удалил эти версии, приостановил работу всего рынка для ротации ключей, затем восстановил сервис и совместно с облачными провайдерами отключил серверы злоумышленников.
Уверенность: высокая (100) · Время события 2026-10-29
Причины
- Это атака на цепочку поставок канала распространения инструмента для программирования с помощью ИИ: согласно Ars Technica, ссылающемуся на Phorion и независимого исследователя Кевина Бомона, вредоносные версии были опубликованы с официального верифицированного аккаунта Anthropic в Cursor и заменили обычные версии; Cursor по умолчанию автоматически обновляет расширения, поэтому пользователи могли заразиться, ничего не предпринимая. Как злоумышленники получили доступ к этому аккаунту, пока не объяснили ни Cursor, ни Anthropic.
- Плагин работает с правами IDE и может читать локальные файлы, исходный код и данные инструментов разработки. Анализ Phorion: собираются только «имена» переменных окружения (совпадающие с KEY, TOKEN, SECRET, AWS и т.д., максимум 40 штук), но не их значения, чтобы определить, на каких машинах есть облачные учетные данные и API-токены, что помогает выбрать цели для последующих атак.
- В коде есть недостатки: для включения службы SSH требуются права администратора, и на большинстве машин с macOS и Windows этот шаг завершается ошибкой, поэтому злоумышленники не могут войти через туннель; однако запись публичного ключа, скриптов автозапуска и отправка информации о хосте все равно выполняются, поэтому официальные рекомендации требуют очистки в любом случае.
Использование
- Если вы устанавливали или обновляли этот плагин из рынка расширений Cursor в указанный период 29 10: на macOS / Linux выполните проверку командой grep -qs svc-telemetry ~/.ssh/authorized_keys (на Windows используйте PowerShell-команду из объявления); если она найдена, система затронута.
- На затронутых машинах следуйте инструкциям из объявления Cursor: загрузите официальный скрипт remediate-macos.sh (запускайте от имени обычного пользователя, не от root) или remediate-windows.ps1 (в PowerShell от имени администратора), чтобы удалить плагин, элементы автозапуска, процессы туннеля и публичные ключи; простого удаления плагина недостаточно. Затем с доверенного устройства смените учетные данные и сессии, доступные с этой машины, при необходимости переустановите систему. В объявлении и анализе Phorion перечислены индикаторы компрометации (IP-адреса, пути к файлам, хеши), которые можно использовать для проверки всей инфраструктуры компании.
Риски
- Утверждение «максимум 5000 пользователей затронуто» исходит от The Decoder и Ars Technica, цитирующих Cursor, однако на странице объявления Cursor эта цифра отсутствует.
- Информация о затронутых версиях менялась: изначально Phorion указывал только 2.1.313, но 31 10 после обновления объявления Cursor исправил на 2.1.312 и 2.1.313; Phorion отмечает, что вредоносный код содержит также логику для Linux, тогда как в объявлении Cursor перечислены только macOS и Windows.
- На момент публикации Ars Technica компания Anthropic не выпустила объявления для пользователей; причины компрометации аккаунта и влияние на другие каналы распространения не раскрыты (Cursor заявляет, что нет свидетельств влияния на другие версии или официальные каналы распространения).
Открыть · Безопасностное объявление Cursor · Анализ безопасности Phorion · Ars Technica