In een ontwikkeling die absoluut niemand zal verbazen die ooit heeft gemompeld "vast niet dat de auto-update me zal verraden", is een officiële VS Code-extensie voor Anthropic's Claude-model gebackdoord en bedreigde de machines van maar liefst 5.000 ontwikkelaars, zo meldden meerdere bronnen vrijdag. Anthropic heeft vooralsnog geweigerd klanten te waarschuwen voor het incident - vermoedelijk volgens het aloude bedrijfsprincipe dat als je de breach niet noemt, het meer een vibe is dan een crisis.

Het gecompromitteerde pakket was een VS Code-extensie die beschikbaar was in de marktplaats van Cursor, een maker van AI-ondersteunde ontwikkelaarstools, zo zei het bedrijf vrijdag. De kwaadaardige versie, 2.1.313, trof vervolgens "hoogstens 5.000 gebruikers", vermoedelijk toen ze het downloadden of hun systemen het automatisch ophaalden en installeerden - want niets zegt "moderne software" als een functie die je problemen voor je installeert.

Anthropic pushte versie 2.1.314 enkele uren nadat de vorige versie beschikbaar kwam op Cursor, volgens onafhankelijk onderzoeker Kevin Beaumont. Zowel Beaumont als de CTO en mede-oprichter van beveiligingsbedrijf Phorian zeiden dat versie 2.1.313 werd verspreid via Anthropic's officiële account op Cursor. Tot nu toe hebben noch Cursor noch Anthropic uitgelegd hoe de aanvallers controle over het account kregen - een detail dat misschien wel, zeg maar, een blogpost waard is.

"Het was een supply-chain-compromis waarbij de aanvaller toegang kreeg tot het officiële distributiekanaal," vertelde Phorian CTO en mede-oprichter Luke Roberts aan Ars. "De kwaadaardige versie 2.1.313 werd gepost op het officiële Anthropic-account en verving daarmee effectief 2.1.312. Extensies updaten standaard automatisch in Cursor, maar gebruikers kunnen dit configureren in de instellingen." Phorian heeft meer details hier - vermoedelijk in een document getiteld "Dingen die je wenste dat je wist voordat je begon."

Anthropic heeft nog geen openbare kennisgeving van het incident aan klanten gedaan. De communicatiestrategie van het bedrijf lijkt gemodelleerd naar het "als een boom valt in een bos"-gedachte-experiment, behalve dat de boom een backdoor is en het bos je laptop.

Cursor zei dat de kwaadaardige extensie probeert een persistente SSH-backdoor te installeren met behulp van een toegevoegde door de aanvaller beheerde SSH-sleutel, de lokale SSH-service inschakelt en een reverse SSH-tunnel opent. De code was geschreven om te werken op Windows, macOS en Linux - een bewonderenswaardige toewijding aan cross-platform compatibiliteit, zo niet meer. Omdat Cursor-extensies draaien met de permissies van de Integrated Development Environment van de tool, zou de gebackdoorde versie waarschijnlijk toegang krijgen tot lokale bestanden, broncode en ontwikkelaarstools zodra deze was geïnstalleerd. Met andere woorden, het had de vrije hand.

Phorion zei dat de diefstal van variabelenamen de operator in staat stelde snel een inventaris te maken van cloudreferenties en API-tokens die op een gecompromitteerd apparaat waren opgeslagen, waarschijnlijk om te bepalen welke machines prioriteit kregen bij vervolgaanvallen. Efficiënt! Bijna professioneel. Je zou het zelfs "enterprise-grade" kunnen noemen.

Bugs in de kwaadaardige code voor Windows en macOS verhinderden dat de backdoor in sommige gevallen werkte. Phorion zei dat ondanks de codeerfouten "de malware nog steeds een aanzienlijke bedreiging is die persistentie installeert en host-reconnaissance terug naar de operator seint." Dus de aanvallers waren slordig, maar niet slordig genoeg - een geruststellende middenweg.

Cursor zei dat personeel van het bedrijf samenwerkte met de cloudprovider die de server hostte waarmee de reverse shell verbinding maakte, zodat geïnfecteerde apparaten deze niet meer konden bereiken. Personeel verwijderde ook de gebackdoorde versie uit de marktplaats en blokkeerde verdere distributie. Het bedrijf sloot ook de VSCode Marketplace om sleutels te roteren, toegangscontroles te auditen en te bevestigen dat geen andere extensies waren gecompromitteerd. De marktplaats is nu weer open - dus je kunt teruggaan naar het downloaden van dingen met de traditionele hoeveelheid vertrouwen.

Het blijft onduidelijk waarom Anthropic klanten niet publiekelijk waarschuwt voor de dreiging en waarom het en Cursor niet