По описанию инцидента, через Cursor Marketplace распространялась заражённая версия официального расширения Anthropic Claude Code. Пакет под номером 2.1.313 появился под настоящими издателем и идентификатором [icode]anthropic.claude-code[/icode], а не под видом отдельной копии. Cursor временно отключил маркетплейс, чтобы удалить обновление. Как злоумышленникам удалось разместить его, пока не установлено.
Cursor оценил число затронутых пользователей максимум в 5 000. Компания заявила, что вредоносную версию не разрабатывала Anthropic, а другие расширения с [icode]cursor[.]com/marketplace[/icode], Grok Bot, Grok и продукт SpaceXSI не пострадали. Но формулировка о разработчике не отвечает на главный вопрос: пакет распространялся именно с легитимным идентификатором Claude Code. По словам Дженн Гайл, соосновательницы OpenSourceMalware, в основном JavaScript-файле перед настоящим кодом расширения разместили вредоносный загрузчик длиной 66 строк.
Заражённый пакет распространялся только через Cursor Marketplace. Данных о его появлении в Open VSX или официальном Microsoft VS Code Marketplace нет; пользователи, установившие Claude Code из этих источников, в рамках этого инцидента не считаются затронутыми. Согласно описанию, окно распространения длилось с 2:27 до 13:35 по тихоокеанскому времени 29 октября 2026 года. К 30 октября вредоносную сборку удалили, а Anthropic выпустила версию 2.1.314 для Open VSX и Microsoft VS Code Marketplace. Cursor обещал напрямую связаться с пострадавшими. Гайл отдельно предупредила: при включённом автообновлении заражённая версия могла установиться до удаления.
Здесь есть существенная оговорка по датам: на момент подготовки этого текста 29 и 30 октября 2026 года ещё не наступили. Поэтому сведения о происшествии, как и упоминание события марта 2026 года ниже, нельзя представлять как уже подтверждённые факты. Они приведены в исходном описании инцидента, но требуют проверки после указанных дат.
Загрузчик должен был запускаться при старте VS Code и при открытии веб-представления расширения. Он пытался добавить ключ злоумышленника в [icode]~/.ssh/authorized_keys[/icode], присвоив ему малозаметное имя [icode]svc-telemetry[/icode]. Затем вредоносная программа стремилась создать обратный туннель к адресу [icode]134.209.82[.]225[/icode] и закрепиться в системе: через запланированную задачу в Windows, crontab в Linux или LaunchAgent в macOS. Данные о компьютере отправлялись на [icode]134.209.82[.]225:8099/beacon[/icode] обычным незашифрованным HTTP-запросом.
Cursor отмечал, что для включения локальной SSH-службы нужны права администратора. На большинстве компьютеров с macOS и Windows расширение таких прав не имеет, поэтому этот шаг мог завершиться неудачей и вход по туннелю оказался бы невозможен. Но даже без него программа могла оставить ключ, настроить механизмы автозапуска и передать сведения о хосте. Если же туннель работал, оператор получал путь к SSH-службе жертвы и мог выполнять команды или передавать файлы.
Среди собранных или запрошенных сведений были публичный IP-адрес, получаемый через [icode]api.ipify[.]org[/icode], имя компьютера и пользователя, операционная система, архитектура процессора, домашняя и текущая рабочая директории. Также вредоносный код запрашивал глобальный адрес Git через [icode]git config --global [/icode] и искал названия максимум 40 переменных окружения, содержащих [icode]KEY[/icode], [icode]TOKEN[/icode], [icode]SECRET[/icode], [icode]PASS[/icode], [icode]AWS[/icode] или [icode]GCP[/icode].
Исследователь безопасности Пол Маккарти уточнил: значения переменных окружения не включались напрямую в первоначальный beacon-запрос. Но сами названия могли раскрыть используемые облачные платформы, CI-системы и типы учётных данных. При успешном SSH-доступе злоумышленник мог изучать содержимое аккаунта уже непосредственно. Пользователям, установившим расширение в период заражения, рекомендовали изолировать компьютеры, удалить посторонний ключ и механизмы закрепления, а затем сменить учётные данные и завершить активные сессии.
В описании этот случай сопоставлен с инцидентом OVHcloud: чуть более чем за неделю до него неизвестный злоумышленник заменил вредоносными программами бинарные файлы пяти уже опубликованных версий официального CLI [icode]ovh/ovhcloud-cli[/icode]. Их загрузили через аккаунт участника проекта HassenBF, который, согласно приведённым сведениям, был захвачен в марте 2026 года в ходе операции GlassWorm. В описании также исправлена прежняя ошибка: сначала сообщалось о компрометации расширения в Open VSX, но позднее источник инцидента перенесли на Cursor VS Code Marketplace.
Изображение носит иллюстративный характер
Cursor оценил число затронутых пользователей максимум в 5 000. Компания заявила, что вредоносную версию не разрабатывала Anthropic, а другие расширения с [icode]cursor[.]com/marketplace[/icode], Grok Bot, Grok и продукт SpaceXSI не пострадали. Но формулировка о разработчике не отвечает на главный вопрос: пакет распространялся именно с легитимным идентификатором Claude Code. По словам Дженн Гайл, соосновательницы OpenSourceMalware, в основном JavaScript-файле перед настоящим кодом расширения разместили вредоносный загрузчик длиной 66 строк.
Заражённый пакет распространялся только через Cursor Marketplace. Данных о его появлении в Open VSX или официальном Microsoft VS Code Marketplace нет; пользователи, установившие Claude Code из этих источников, в рамках этого инцидента не считаются затронутыми. Согласно описанию, окно распространения длилось с 2:27 до 13:35 по тихоокеанскому времени 29 октября 2026 года. К 30 октября вредоносную сборку удалили, а Anthropic выпустила версию 2.1.314 для Open VSX и Microsoft VS Code Marketplace. Cursor обещал напрямую связаться с пострадавшими. Гайл отдельно предупредила: при включённом автообновлении заражённая версия могла установиться до удаления.
Здесь есть существенная оговорка по датам: на момент подготовки этого текста 29 и 30 октября 2026 года ещё не наступили. Поэтому сведения о происшествии, как и упоминание события марта 2026 года ниже, нельзя представлять как уже подтверждённые факты. Они приведены в исходном описании инцидента, но требуют проверки после указанных дат.
Загрузчик должен был запускаться при старте VS Code и при открытии веб-представления расширения. Он пытался добавить ключ злоумышленника в [icode]~/.ssh/authorized_keys[/icode], присвоив ему малозаметное имя [icode]svc-telemetry[/icode]. Затем вредоносная программа стремилась создать обратный туннель к адресу [icode]134.209.82[.]225[/icode] и закрепиться в системе: через запланированную задачу в Windows, crontab в Linux или LaunchAgent в macOS. Данные о компьютере отправлялись на [icode]134.209.82[.]225:8099/beacon[/icode] обычным незашифрованным HTTP-запросом.
Cursor отмечал, что для включения локальной SSH-службы нужны права администратора. На большинстве компьютеров с macOS и Windows расширение таких прав не имеет, поэтому этот шаг мог завершиться неудачей и вход по туннелю оказался бы невозможен. Но даже без него программа могла оставить ключ, настроить механизмы автозапуска и передать сведения о хосте. Если же туннель работал, оператор получал путь к SSH-службе жертвы и мог выполнять команды или передавать файлы.
Среди собранных или запрошенных сведений были публичный IP-адрес, получаемый через [icode]api.ipify[.]org[/icode], имя компьютера и пользователя, операционная система, архитектура процессора, домашняя и текущая рабочая директории. Также вредоносный код запрашивал глобальный адрес Git через [icode]git config --global [/icode] и искал названия максимум 40 переменных окружения, содержащих [icode]KEY[/icode], [icode]TOKEN[/icode], [icode]SECRET[/icode], [icode]PASS[/icode], [icode]AWS[/icode] или [icode]GCP[/icode].
Исследователь безопасности Пол Маккарти уточнил: значения переменных окружения не включались напрямую в первоначальный beacon-запрос. Но сами названия могли раскрыть используемые облачные платформы, CI-системы и типы учётных данных. При успешном SSH-доступе злоумышленник мог изучать содержимое аккаунта уже непосредственно. Пользователям, установившим расширение в период заражения, рекомендовали изолировать компьютеры, удалить посторонний ключ и механизмы закрепления, а затем сменить учётные данные и завершить активные сессии.
В описании этот случай сопоставлен с инцидентом OVHcloud: чуть более чем за неделю до него неизвестный злоумышленник заменил вредоносными программами бинарные файлы пяти уже опубликованных версий официального CLI [icode]ovh/ovhcloud-cli[/icode]. Их загрузили через аккаунт участника проекта HassenBF, который, согласно приведённым сведениям, был захвачен в марте 2026 года в ходе операции GlassWorm. В описании также исправлена прежняя ошибка: сначала сообщалось о компрометации расширения в Open VSX, но позднее источник инцидента перенесли на Cursor VS Code Marketplace.
