Säkerhetsforskare vid Phorion har avslöjat att den officiella tillägget ”Claude Code for VS Code”, som distribueras via Cursor Marketplace, har komprometterats . Den skadliga versionen (2.1.313) komprometterades via programvarans leveranskedja och innehöll en plattformsoberoende SSH-bakdörr som kunde etablera bestående fjärråtkomst på macOS-, Linux- och Windows-system. Efter avslöjandet togs den drabbade versionen bort från marknadsplatsen och tillhörande paketregister.

Till skillnad från traditionella verktyg för stöld av inloggningsuppgifter var denna attack utformad för att ge långsiktig interaktiv åtkomst till utvecklarnas arbetsstationer genom att placera ut SSH-autentiseringsnycklar, upprätta omvända tunnlar och skapa mekanismer för beständighet i operativsystemet.

För organisationer som använder Claude Code, VS Code eller Cursor i utvecklingsmiljöer innebär denna incident en betydande eskalering av hotbilden i IDE-leveranskedjan.

Enligt Phorion modifierade en angripare tilläggets primära JavaScript-paket genom att lägga till ett skadligt omedelbart utlöst funktionsuttryck (IIFE) i början, som kördes så snart tillägget laddades. Ingen användarinteraktion krävdes.

Eftersom VS Code- och Cursor-tillägg körs med den inloggade användarens behörigheter får den skadliga koden omedelbart tillgång till källkodsförvar, lokala filer, utvecklingsautentiseringsuppgifter, SSH-konfigurationer och molnverktyg.

De potentiella konsekvenserna av denna incident i programvaruförsörjningskedjan utvärderas fortfarande. Det är inte känt om officiella versioner av tillägget har komprometterats på andra marknadsplatser än Cursor.

Om du använder VS Code med tillägget för Claude rekommenderas det att du kontrollerar följande IoC:er i din miljö:

• Tilläggsversion: 2.1.313
• Utgående anslutningar till 134.209.82[.]225
• Skapande av följande filer:
• Tillfälliga filer som börjar med: .stk_

~/.config/.smt

~/.config/.smtk
~/Library/LaunchAgents/com.apple.sysmond.plist

Authorized_keys-poster som hänvisar till: svc-telemetry

Om din organisation har utsatts för denna attack mot programvarukedjan, kontakta Integrity360:s Incident Response-team för hjälp.

Referens: https://phorion.io/blog/offical-claude-code-vsx-compromise/

Om du är orolig för någon av de hot som beskrivs i detta meddelande eller behöver hjälp med att avgöra vilka åtgärder du bör vidta för att skydda dig mot de mest allvarliga hoten som din organisation står inför, vänligen kontakta din kundansvarige eller ta kontakt med oss för att ta reda på hur du kan skydda din organisation.