AnthropicのClaude拡張機能、Cursor上で約12時間バックドア化

何が起きたのか

複数の情報源によると、AnthropicのClaudeモデル向け公式VS Code拡張機能が改ざんされ、最大5,000人規模の開発者マシンに影響が及んだ可能性があります。問題のパッケージはCursorのマーケットプレイスで配布されていたもので、悪意あるバージョン2.1.313はAnthropicの公式アカウントを通じて公開されていました。Cursorは金曜日にこの事実を認めています。独立研究者のKevin Beaumont氏によれば、Anthropicは前のバージョンがCursor上で利用可能になってから数時間後に2.1.314を公開しました。

2.1.313がAnthropicの公式アカウント経由で配布された点は、Beaumont氏と、セキュリティ企業Phorian（記事中ではPhorionとも表記）のCTO兼共同創業者Luke Roberts氏の双方が指摘しています。攻撃者がなぜアカウントを掌握できたのかについては、CursorもAnthropicも説明していません。Anthropicは現時点でこのインシデントに関する公的な通知を出しておらず、取材にも回答していないと報じられています。

バックドアの正体

Cursorの説明によると、悪意ある拡張機能は攻撃者が用意したSSH鍵をauthorized_keysに追加し、ローカルのSSHサービスを有効化したうえで、外部への逆SSHトンネルを開こうとするものでした。コードはWindows、macOS、Linuxのいずれでも動くように書かれていました。Cursorの拡張機能はIDEの権限で実行されるため、インストールされればローカルのファイル、ソースコード、開発ツールにアクセスできる立場になります。

ただし、悪意あるコードには不具合がありました。Cursorによれば、管理者権限でCursorを起動しているような特殊な状況を除き、SSHバックドアの設置は失敗します。macOS向けのLaunchAgentや、SYSTEM権限での実行を試みるWindowsのスケジュールタスクによる永続化も、WindowsとmacOS向けコードの不具合で機能しない場合があったとされています。バックグラウンドのスクリプトは約60秒ごとにトンネルの再試行を行う設計でした。

一方で、ホスト名やユーザー名、OS、アーキテクチャ、ホームディレクトリのパス、環境変数名、Gitに設定されたメールアドレス、公開IPといった情報の収集と、ポート8099の「/beacon」へのHTTP POSTによる送信は行われる設計でした。Phorionは、環境変数名が盗まれることで、端末に保存されたクラウドの認証情報やAPIトークンを攻撃者が棚卸しでき、次の攻撃対象を選ぶ材料になった可能性を指摘しています。

Cursorの対応と残る疑問

Cursorは、逆シェルが接続していたサーバーをホスティングするクラウド事業者と協力し、感染した端末からサーバーに到達できないようにしたと説明しています。あわせて問題のバージョンをマーケットプレイスから削除して配布を止め、キーのローテーションとアクセス制御の監査、他の拡張機能が侵害されていないことの確認のためVSCode Marketplaceを一時停止しました。現在は再開しています。

説明されていない点も多く残ります。攻撃者がAnthropicの公式アカウントをどう掌握したのか、なぜAnthropicが顧客に警告していないのかは明らかにされておらず、両社ともこれらの質問に答えていないと報じられています。

影響範囲の見極め方

CursorとPhorianによると、東部時間の木曜日5時27分から午後4時35分までの間に、Cursor経由でAnthropicのVS Code拡張機能をインストールまたは更新した人は影響を受けた可能性があります。記事の見出しはこの期間を「約12時間」と表現しています。直近に同様の操作をした人も、潜在的な感染の可能性として確認することが望ましいとされています。

両社はIPアドレスや暗号学的ハッシュを含む侵害指標（IoC）を公開しています。Phorionは、コードの欠陥はあるものの、永続化を仕掛けホストの偵察結果を外部に送る点で、このマルウェアは依然として重大な脅威だと述べています。