Claude Code : l'extension VS Code officielle piégée avec une porte dérobée SSH

Une version piégée de l'extension Claude Code d'Anthropic a été diffusée comme une mise à jour légitime sur le Cursor Marketplace. Son but : installer un accès SSH persistant sur les machines des développeurs.

Cursor a temporairement fermé sa place de marché pour retirer le paquet compromis. La méthode employée par les attaquants pour publier cette mise à jour n'est pas encore établie.

Une mise à jour publiée sous l'identité officielle

La version malveillante portait le numéro 2.1.313. Elle a été distribuée sous l'identifiant légitime de l'extension (anthropic.claude-code), et non comme une fausse extension distincte.

Cursor affirme que cette version n'a pas été développée par Anthropic. Pour Jenn Gile, cofondatrice d'OpenSourceMalware, cette précision passe à côté du problème : le paquet se présentait bien comme l'extension officielle, avec un chargeur malveillant de 66 lignes inséré avant le code d'origine.

Selon Cursor, au plus 5 000 utilisateurs ont installé cette version, entre environ 2 h 27 et 13 h 35 (heure du Pacifique) le 29 octobre 2026. L'entreprise dit qu'elle contactera directement les personnes concernées.

Ce que faisait le code malveillant

L'extension s'active au démarrage de VS Code et à l'ouverture de sa vue web. Elle ajoute alors une clé contrôlée par l'attaquant au fichier ~/.ssh/authorized_keys, nommée « svc-telemetry » pour paraître anodine.

Elle tente ensuite de rendre la machine joignable en SSH sous Windows, Linux et macOS. Un tunnel inverse est établi vers une adresse IP contrôlée par l'attaquant, et une persistance est mise en place via une tâche planifiée, une crontab ou un LaunchAgent selon le système.

Activer le service SSH local demande des droits administrateur, que l'extension n'a pas sur la plupart des machines macOS et Windows. Sur ces hôtes, l'attaquant n'a donc pas pu se connecter par le tunnel. La clé, la persistance et l'envoi d'informations restent en revanche actifs.

Les données transmises à l'attaquant

Les informations de reconnaissance sont envoyées en HTTP non chiffré sur le port 8099. Elles comprennent l'adresse IP publique, le nom d'hôte, le nom d'utilisateur local, le système d'exploitation et l'architecture du processeur.

Le répertoire personnel, le répertoire de travail et l'adresse e-mail Git globale sont aussi collectés. S'y ajoutent les noms de 40 variables d'environnement au maximum contenant des termes comme KEY, TOKEN, SECRET, PASS, AWS ou GCP.

Les valeurs de ces variables ne figurent pas dans le premier envoi. Le chercheur Paul McCarty note toutefois que leurs noms peuvent révéler les fournisseurs cloud et types d'identifiants utilisés. Aucune charge supplémentaire n'a été observée à ce stade.

Les mesures à prendre

Le paquet a été retiré et Anthropic a publié la version 2.1.314 sur Open VSX et sur le Marketplace de Microsoft. Selon Jenn Gile, la rapidité du retrait n'exclut pas des infections chez ceux qui avaient activé la mise à jour automatique.

Les utilisateurs ayant installé la version compromise doivent isoler les machines, supprimer la clé SSH non autorisée et les mécanismes de persistance, puis renouveler leurs identifiants et leurs sessions.

Cet incident survient un peu plus d'une semaine après une autre attaque sur la chaîne d'approvisionnement logicielle. Des binaires de la CLI officielle d'OVHcloud avaient été remplacés par un logiciel voleur de secrets, via un compte GitHub détourné dans le cadre de l'opération GlassWorm.

Source : Thehackernews