Claude Code改ざん版に「SSHバックドア」…Cursorで11時間配布、「謎の鍵」はないか？

　Cursorは10月29日、同社のVS Code拡張機能マーケットプレイスで、アンソロピックのClaude Code拡張機能「Anthropic.claude-code」を改ざんしたバージョン（2.1.312および2.1.313）が公開されていたと明らかにした。

　WindowsとmacOS向けで、太平洋時間の10月29日午前2時27分ごろから午後1時35分ごろ、日本時間では10月29日午後6時27分ごろから30日午前5時35分ごろまでの約11時間、配布されていたという。

　この拡張機能は、ホスト名やOS、パブリックIPなどの情報を収集して報告するほか、攻撃者が管理するSSH鍵を「authorized_keys」に追加し、リバースSSHトンネルによる永続的なアクセスを試みる。

　Cursorによると、ローカルのSSHサービスを有効にする手順には管理者権限が必要で、悪意あるコードのエラーにより、Cursorを管理者権限で起動していたまれなケースを除いて失敗する。このため、ほとんどの環境では攻撃者がトンネル経由でログインできた可能性はないとしている。ただ、攻撃者の鍵の追加や永続化の仕組みのインストール、ホスト情報の送信は実行されたとして、該当期間にインストールまたは更新した場合は修正手順を実施するよう求めている。攻撃者のサーバーはすでに停止したという。

　影響の有無は、SSHの許可鍵ファイルにコメント「svc-telemetry」の鍵が含まれているかで確認する。macOSでは「grep -qs svc-telemetry」を使ったコマンド、WindowsではPowerShellのコマンドが示されており、鍵が見つかった場合は修復スクリプトの実行が必要になる。Cursorは、拡張機能のアンインストールだけでは不十分な場合があるとしている。

　Cursorは、問題の発覚後にマーケットプレイスを全面停止し、キーのローテーションと再構築を経てサービスを再開したと説明している。

　一方、アンソロピックの技術スタッフであるFelix Rieseberg氏はXで、アンソロピックのシステムや従業員のPCが侵害されたわけではないと説明した。悪意ある第三者がCursorのマーケットプレイスへのアクセスを使って改ざん版を公開したもので、アンソロピックの公式チャネルで配布されているバージョンは影響を受けず、影響はCursorのユーザーに限られるという。