Extensie Claude Code malițioasă: 5.000 mașini de dezvoltatori infectate cu backdoor SSH

Cum funcționează backdoor-ul?

O versiune falsă a extensiei Claude Code a fost urcată pe piața extensiilor Cursor pe 29 octombrie. A rămas activă aproape 11 ore, infectând până la 5.000 stații de lucru ale dezvoltatorilor.

Scopul malware-ului era să planteze backdoaruri SSH persistente, oferind atacatorilor acces pe termen lung la codul sensibil și la credențiale.

Construcția malițioasă folosea versiunea 2.1.313. A fost activă de la 2:27 dimineața până la 1:35 după-amiaza.

Fereastra de timp e suficientă ca mii de utilizatori să o instaleze înainte ca cineva să observe anomalie.

Extensia includea un script care modifica configurația SSH a utilizatorului.

Ce trebuie să verifice dezvoltatorii acum?

Adăuga o cheie autorizată nouă, care indica către un server controlat de atacator. Odată instalată, atacatorul putea deschide un shell remote fără parolă. Deoarece cheia persista în directorul home al utilizatorului, simpla dezinstalare a extensiei nu elimina backdoor-ul.

Dezvoltatorii trebuiau să ștergă manual cheia străină din fișierul authorized_keys.

Oricine a instalat Claude Code prin Cursor între 2:27 dimineața și 1:35 după-amiaza pe 29 octombrie ar trebui să inspecteze configurația sa SSH. Deschide fișierul authorized_keys din folderul. ssh și caută chei publice necunoscute.

Dacă găsești una pe care nu ai adăugat-o, șterge-o și roate orice secrete care ar fi putut fi expuse.

Întrebări frecvente!

Câți dezvoltatori au fost afectați? Până la 5.000 dezvoltatori au putut instala extensia malițioasă în fereastra de expunere de 11 ore.

Elimină dezinstalarea extensiei backdoor-ul? Nu.

Cheia SSH persistă în directorul home al utilizatorului. Trebuie să ștergi manual cheia neautorizată din fișierul tău authorized_keys.

Ce număr de versiune trebuie să verifici?

Caută versiunea 2.1.313 printre extensiile instalate. Dacă e prezentă, tratează mașina ca compromisă până când cheia backdoor este eliminată.