Бэкдор в расширении Claude Code для Cursor: как проверить себя

Компания Phorion сообщила о бэкдоре в официальном расширении Claude Code for VS Code, которое раздавал Cursor Marketplace. Сначала речь шла только о версии 2.1.313. 31 октября 2026 отчёт обновили: заражены 2.1.312 и 2.1.313. Cursor уже убрал обе из каталога. Если вы ставили Claude Code в Cursor в эти дни, проверьте машину прямо сейчас.

Что делает вредоносный код

В начало файла extension.js был вшит код, который срабатывает сразу при загрузке расширения, ещё до его обычного запуска. Нажимать ничего не нужно. Он дописывает чужой SSH-ключ с комментарием svc-telemetry в ~/.ssh/authorized_keys, открывает обратный SSH-туннель на сервер 134.209.82.225 и прописывается в автозапуск. Ещё он отправляет злоумышленнику данные о системе, внешний IP и названия переменных окружения со словами KEY, TOKEN, SECRET, PASS, AWS, GCP. По данным Phorion, уходят только названия, без значений.

На macOS у вредоноса нашли ошибку: без прав администратора он не может проверить, включён ли удалённый вход, и пропускает шаг включения SSH. Расслабляться рано. Ключ и автозапуск всё равно остаются, и стоит один раз включить Remote Login, как бэкдор заработает.

Как проверить себя

Phorion советует искать вот что:

• папки anthropic.claude-code-2.1.312-* или 2.1.313-* в каталоге расширений IDE;
• строку svc-telemetry в ~/.ssh/authorized_keys;
• на macOS файл ~/Library/LaunchAgents/com.apple.sysmond.plist, а также ~/.config/.smt и ~/.config/.smtk;
• на Linux запись @reboot в crontab, на Windows задачу планировщика SysMon и sysmon.cmd в папке автозагрузки;
• процессы ssh или autossh, которые подключаются к 134.209.82.225.

Одна оговорка от исследователей: надёжнее сверять отпечаток ключа, а не только комментарий. Скрипт сам проверяет именно строку svc-telemetry, так что комментарий легко поменять в следующей версии.

Если расширение уже стояло

Одного удаления расширения мало: бэкдор живёт отдельно от него. Нужно остановить подозрительные процессы ssh, удалить файлы автозапуска, вычистить чужой ключ из authorized_keys и выключить Remote Login, если вы его не включали сами. Если SSH был включён или в логах видны входы с 127.0.0.1, меняйте все ключи и токены, к которым был доступ у этого пользователя. В компаниях Phorion советует сразу звать команду реагирования на инциденты.

Чего пока нет в источниках

Как код попал в официальный пакет, непонятно. Заголовок DoublePulsar прямо говорит о взломе Anthropic, но полный текст статьи на момент проверки не открывался, а Phorion о причине молчит. С платформами тоже расхождение. Phorion пишет, что в коде есть логика для macOS, Linux и Windows, а Cursor в своём уведомлении называет пострадавшими сборки для macOS и Windows. Про VS Code Marketplace и Open VSX в отчёте ничего не сказано. На наш взгляд, пока картина не прояснилась, разумно сверять номер версии и издателя перед каждым обновлением расширений с доступом к коду.