Aangepaste Claude Code-extensie in Cursor bevatte een achterdeur

Wat deed de besmette Claude Code-extensie in Cursor?

De besmette versie had nummer 2.1.313. Volgens Cursor probeerde die een achterdeur op de computer te openen, zodat aanvallers op afstand kunnen meekijken en meewerken. De code werkte op Windows, macOS en Linux.

Eerst verzamelde de extensie gegevens, zoals de naam van de computer, de gebruikersnaam en het openbare IP-adres. Daarna voegde hij een sleutel van de aanvaller toe, zodat die kon inloggen. Op de achtergrond probeerde het script ongeveer elke 60 seconden opnieuw verbinding te maken.

Een extensie draait met dezelfde rechten als het programma zelf. Daardoor kon de besmette versie bij lokale bestanden, broncode en ontwikkelgereedschap komen, schrijft Ars Technica. Fouten in de code zorgden er wel voor dat de achterdeur in sommige gevallen niet werkte.

Hoe kwam de aanval in Cursors appwinkel terecht?

Dat is nog onbekend. Volgens beveiligingsonderzoeker Kevin Beaumont en het beveiligingsbedrijf Phorian stond de besmette versie onder Anthropics officiële account in de appwinkel van Cursor. Hoe aanvallers daarbij kwamen, hebben Cursor en Anthropic niet uitgelegd.

Anthropic zegt via medewerker Felix Rieseberg: "het was geen inbraak bij de systemen of laptops van Anthropic". Een aanvaller gebruikte toegang tot Cursors appwinkel voor een aangepaste versie die Anthropic niet maakte. Volgens Ars Technica bracht Anthropic enkele uren later versie 2.1.314 uit.

Cursor haalde de besmette versie uit de winkel en liet de server van de aanvallers blokkeren. De winkel ging tijdelijk dicht om sleutels te vervangen en toegang na te lopen. Beaumont meldt dat ook de Claude-extensie in de Visual Studio Marketplace was getroffen, de winkel van Microsoft. Dat is zijn bewering.

Wat doe je als je Claude Code in Cursor gebruikt?

Controleer de versie van de extensie. Wie de extensie op donderdag 29 oktober tussen 5.27 uur en 16.35 uur Amerikaanse oostkusttijd installeerde of liet bijwerken, moet zich getroffen achten. Extensies werken in Cursor standaard automatisch bij, dus je kunt het hebben gekregen zonder iets te doen.

Zit je computer erop? Vervang dan alle wachtwoorden, sessies en sleutels die vanaf die computer bereikbaar waren, adviseert Security.nl. Cursor en beveiligingsbedrijf Phorian publiceren ook lijsten met technische sporen van de besmetting, waarmee ontwikkelaars hun systeem kunnen nakijken.

Volgens Ars Technica had Anthropic op vrijdag 30 oktober klanten nog niet publiek gewaarschuwd. Beide bedrijven beantwoordden vragen daarover niet. Volg dus zelf de meldingen van Cursor en Anthropic.