偽Claude拡張機能で最大5,000人のSSHバックドアが露出
アンソロピックの公式「Claude Code」コーディング支援拡張機能を装った偽バージョンが、AIコーディングツールCursorの拡張マーケットで約11時間にわたり流通していました。これをインストールしたユーザーのPCには、リモート接続経路であるSSHバックドア(秘密裏に残された侵入経路)が仕込まれており、Cursorは現地時間10月29日の太平洋時間午前2時27分頃から午後1時35分頃までの間にインストールしたユーザーが最大5,000人に上ると明らかにしました。Cursorは当該バージョンがアンソロピックによって作成されたものではないことを確認しています。
このタイムラインは、セキュリティ企業StepSecurityの分析によって明らかにされました。正規バージョンである2.1.312は10月27日20時26分(UTC)にOpen VSXにアップロードされました。続いて、自身をanthropic.claude-codeバージョン2.1.313と紹介する改ざん版が10月29日9時27分頃(UTC)に登場し、同日20時35分(UTC)にCursorがこれを削除するとともにマーケットプレイス全体をオフラインに切り替えました。正規バージョン2.1.314は10月30日1時7分(UTC)に公開されました。
攻撃コードに関する分析結果も公開されています。オープンソースマルウェアの共同創業者ジェン・ギル氏は、メインのJavaScriptバンドルに、正規の拡張コードより前に、他のコードを読み込んで実行するプログラムである66行の悪性ローダーが組み込まれていたと説明しました。StepSecurityによると、悪性ファイルは直前の正規バージョンより約7KB大きく、サイズは3,692,922バイトでした。
未確認の部分もあります。アンソロピックの公式見解は、ニュースページ、ステータスページ、Claude CodeのGitHubセキュリティ告知のいずれからも確認できませんでした。Claude Codeの変更履歴も2.1.312から2.1.314へと続くだけで、2.1.313の項目は存在しません。攻撃主体についても明らかにされていません。
Cursorはマーケットプレイスを閉鎖し、鍵を交換した上で再構築して復旧しました。アクセス記録を監査した結果、改ざんされた他の拡張機能はなく、他のバージョンや公式配布版が影響を受けたという証拠もないと同社は明らかにしました。攻撃者サーバーはホスティング業者との協力によりオフラインに切り替えられ、アンソロピックはOpen VSXおよびMicrosoft VS Codeマーケットプレイスに正規バージョン2.1.314を公開しました。
