В Cursor почти на полдня раздавали вредоносную сборку официального расширения Anthropic для VS Code. Она пришла через верифицированный аккаунт Anthropic — то есть через канал, которому разработчик обычно не устраивает допрос с пристрастием.
Затронутая версия — 2.1.313. Cursor оценивает потолок в 5 000 установок. А расширения там обновляются автоматически по умолчанию, если это не отключили в настройках. Вот и весь неприятный фокус: плагин мог приехать сам, пока человек занимался кодом, а не охотой на малварь.
Внутри был набор для закрепления на машине: чужой SSH-ключ, попытка включить локальный SSH и открыть обратный туннель наружу. Заодно сборка собирала имя пользователя, систему, рабочие папки, Git-почту, публичный IP и названия переменных окружения. Последнее особенно противно: по ним удобно понять, где на машине могут лежать облачные ключи и токены.
На Windows и macOS часть трюков могла сломаться из-за ошибок в коде и нехватки прав администратора. Но это не делает установку безобидной: расширение работает с правами среды разработки и видит локальные файлы, исходники и инструменты разработчика.
Cursor удалил заражённую версию, перекрыл ей доступ к серверу атакующих, остановил маркетплейс для смены ключей и проверки остальных расширений. Затем магазин снова открыли. Тем, кто ставил или обновлял расширение в этот промежуток, Cursor советует считать машину затронутой и сверяться с опубликованными индикаторами компрометации.
Как злоумышленники получили доступ к официальному аккаунту Anthropic, не раскрыли. Публичного предупреждения клиентам Anthropic на момент публикации тоже не было. Самая важная граница тут простая: новый безопасный релиз останавливает раздачу, но не отвечает за то, что уже успела сделать старая сборка.