Les chercheurs en sécurité de Phorion ont révélé qu’une version de l’extension officielle «Claude Code for VS Code », distribuée via le Cursor Marketplace, avait été compromise . La version malveillante (2.1.313) a été compromise via la chaîne d’approvisionnement logicielle et contenait une porte dérobée SSH multiplateforme capable d’établir un accès distant persistant sur les systèmes macOS, Linux et Windows. Suite à cette révélation, la version concernée a été retirée de la boutique en ligne et des registres de paquets associés.

Contrairement aux voleurs d’identifiants traditionnels, cette attaque visait à fournir un accès interactif à long terme aux postes de travail des développeurs en implantant des clés d’authentification SSH, en établissant des tunnels inversés et en créant des mécanismes de persistance au niveau du système d’exploitation.

Pour les organisations utilisant Claude Code, VS Code ou Cursor dans leurs environnements de développement, cet incident représente une aggravation significative du paysage des menaces pesant sur la chaîne d’approvisionnement des IDE.

Selon Phorion, un attaquant a modifié le bundle JavaScript principal de l’extension en y ajoutant en tête une expression de fonction immédiatement invoquée (IIFE) malveillante qui s’exécutait dès le chargement de l’extension. Aucune interaction de l’utilisateur n’était requise.

Les extensions de VS Code et de Cursor s’exécutant avec les droits de l’utilisateur connecté, le code malveillant a immédiatement accès aux dépôts de code source, aux fichiers locaux, aux identifiants de développement, aux configurations SSH et aux outils cloud.

L’impact potentiel de cet incident lié à la chaîne d’approvisionnement logicielle est encore en cours d’évaluation. On ignore si des versions officielles de l’extension ont été compromises sur d’autres plateformes que Cursor.

Si vous utilisez VS Code avec l’extension pour Claude, il est conseillé de vérifier les indicateurs de compromission (IoC) suivants au sein de votre environnement :

• Version de l’extension : 2.1.313
• Connexions sortantes vers 134.209.82[.]225
• Création des fichiers suivants :
• Fichiers temporaires commençant par : .stk_

~/.config/.smt

~/.config/.smtk
~/Library/LaunchAgents/com.apple.sysmond.plist

Entrées dans le fichier Authorized_keys faisant référence à : svc-telemetry

Si votre organisation a été victime de cette attaque de la chaîne logistique logicielle, contactez l'équipe d'intervention en cas d'incident d'Integrity360 pour obtenir de l'aide.

Référence : https://phorion.io/blog/offical-claude-code-vsx-compromise/

Si l’une des menaces décrites dans ce bulletin vous inquiète ou si vous avez besoin d’aide pour déterminer les mesures à prendre afin de vous protéger contre les menaces les plus graves auxquelles votre organisation est confrontée, veuillez contacter votre chargé de compte ou nous contacter pour savoir comment protéger votre organisation.