Cursor distribuisce un’estensione infetta di Claude Code: migliaia di sviluppatori a rischio

Un'estensione ufficiale di Anthropic Claude Code distribuita tramite Cursor Marketplace è stata compromessa il 29 ottobre 2026. Le versioni 2.1.312 e 2.1.313 contenevano malware capace di installare una backdoor SSH, raccogliere informazioni sui sistemi e garantire persistenza. Circa 5.000 utenti potrebbero essere stati esposti.

Attraverso il marketplace delle estensioni per Cursor, per quasi 12 ore è stata distribuita una versione dannosa dell’estensione ufficiale Anthropic Claude Code. Il malware ha tentato di implementare un canale SSH-backdoor in Windows, macOS e Linux, e la versione dannosa è stata installata da circa 5000 utenti.

L’incidente è avvenuto alla fine della scorsa settimana, il 29 ottobre 2026, e inizialmente si è segnalato che la versione dannosa dell’estensione 2.1.313 era disponibile tramite Cursor Marketplace.

In seguito, gli esperti di Cursor hanno precisato che il problema riguardava non solo la versione 2.1.313: anche la versione 2.1.312 è risultata compromessa per Windows e macOS. L’attacco non ha coinvolto Open VSX, il marketplace ufficiale Microsoft Visual Studio, e il pacchetto npm Claude Code.

I rappresentanti di Anthropic hanno già dichiarato che stanno indagando sull’accaduto insieme agli esperti di Cursor. Si sottolinea che i sistemi di Anthropic e i computer dei suoi dipendenti non sono stati compromessi.

Pertanto, rimane ancora poco chiaro come gli attaccanti siano riusciti a pubblicare un’estensione dannosa con l’ID legittimo anthropic.claude-code sul marketplace di Cursor.

I ricercatori di OpenSourceMalware scrivono di aver trovato all’inizio del file extension.js un loader dannoso di 66 righe, seguito dal codice originale dell’estensione.

Il malware si avviava automaticamente al caricamento dell’estensione e non richiedeva alcuna azione da parte dell’utente. Sulle macchine infette, il malware raccoglieva informazioni come il nome utente e dell’host, la versione del sistema operativo, i dati sull’architettura, l’email Git, l’indirizzo IP pubblico, nonché i percorsi delle directory home e di lavoro. Separatamente, il malware verificava i nomi delle variabili d’ambiente e cercava tra queste quelle contenenti KEY, TOKEN, SECRET, PASS, AWS o GCP. Sebbene i valori stessi delle variabili non venissero trasmessi agli attaccanti, dai loro nomi era possibile capire quali segreti cloud, chiavi API e altre credenziali potessero essere memorizzate sulla macchina infetta, e selezionare obiettivi per ulteriori attacchi.

Inoltre, il malware aggiungeva una chiave SSH degli attaccanti con l’etichetta svc-telemetry in authorized_keys. Successivamente, tentava di avviare un servizio SSH locale e di stabilire un tunnel inverso al server 134.209.82[.]225.

Se il collegamento non riusciva, il malware ripeteva il tentativo circa ogni minuto.

Per consolidarsi nel sistema, gli attaccanti utilizzavano LaunchAgent in macOS, il servizio di pianificazione delle attività o uno script di avvio automatico in Windows, nonché altri meccanismi legittimi.

I ricercatori notano che il codice del malware conteneva errori. Ad esempio, in Windows e macOS il malware non poteva attivare autonomamente il servizio SSH senza privilegi amministrativi, quindi, molto probabilmente, non è riuscito a creare un tunnel funzionante nella maggior parte delle macchine. Tuttavia, anche in questo caso, l’estensione è riuscita ad aggiungere la chiave degli attaccanti in ~/.ssh/authorized_keys, a consolidarsi nel sistema e a inviare i dati raccolti ai propri operatori.

Dopo aver rilevato l’attacco, gli esperti di Cursor hanno rimosso le versioni compromesse di Claude Code e poi hanno temporaneamente disattivato completamente il marketplace delle estensioni.

Gli analisti hanno verificato altri pacchetti. Hanno cambiato le chiavi di accesso all’infrastruttura del marketplace e sottolineano di non aver rilevato segni di compromissione di altre estensioni.

Inoltre, i dipendenti di Cursor si sono messi in contatto con il provider di hosting su cui era ospitato il server degli attaccanti 134.209.82[.]225. Di conseguenza, il server è stato disattivato, quindi le macchine infette hanno perso la possibilità di inviare a esso i dati raccolti nei sistemi delle vittime e di stabilire tunnel SSH inversi.

Si consiglia agli utenti che hanno installato o aggiornato automaticamente Claude Code dal Cursor Marketplace nel periodo indicato di considerare i propri sistemi potenzialmente compromessi.

In tal caso, un semplice aggiornamento dell’estensione non sarà sufficiente: è necessario verificare la presenza della chiave svc-telemetry, isolare l’host interessato, cambiare i segreti disponibili per esso e revocare tutte le sessioni attive.

Nei casi più gravi, si consiglia di ripristinare completamente l’ambiente da una copia di backup pulita.

Chiara Nardini

Esperta di Cyber Threat intelligence e di cybersecurity awareness, blogger per passione e ricercatrice di sicurezza informatica. Crede che si possa combattere il cybercrime solo conoscendo le minacce informatiche attraverso una costante attività di "lesson learned" e di divulgazione. Analista di punta per quello che concerne gli incidenti di sicurezza informatica del comparto Italia.

Aree di competenza: Cyber threat Intelligence, Incident Response, sicurezza nazionale, divulgazione