Cursor, un’estensione Claude Code falsa installava una backdoor SSH: come verificare

Il 29 ottobre 2026, dalle 10:27 alle 21:35 ora italiana, il marketplace di estensioni dell’editor Cursor ha distribuito versioni modificate dell’estensione Anthropic.claude-code, la 2.1.312 e la 2.1.313 per macOS e Windows. Non erano state sviluppate da Anthropic: all’avvio cercavano di installare una backdoor SSH persistente. Cursor ha rimosso le versioni, spento e ricostruito il marketplace e fatto spegnere il server dell’attaccante.

Cosa faceva l’estensione

Secondo l’avviso di Cursor, all’avvio il codice malevolo inviava al server dell’attaccante (134.209.82.225) nome della macchina, utente, sistema, cartella home, indirizzo IP pubblico, email configurata in Git e i nomi delle variabili d’ambiente, non i loro valori. Poi aggiungeva una chiave SSH con commento svc-telemetry al file authorized_keys, cercava di attivare il servizio SSH e di aprire un tunnel SSH inverso, e si rendeva persistente: un LaunchAgent com.apple.sysmond su macOS, un’attività pianificata SysMon con ripiego su sysmon.cmd nella cartella Esecuzione automatica su Windows. Attivare SSH richiede diritti di amministratore, che l’estensione di norma non ha: in quel caso il tunnel falliva, ma chiave, persistenza e invio dei dati andavano a segno.

Cosa non sappiamo

Cursor non ha spiegato come l’attaccante sia riuscito a pubblicare una versione con l’identità di Anthropic, né quanti utenti l’abbiano installata. Red Hot Cyber parla di circa 5.000 installazioni, un numero che non trova conferma nelle comunicazioni di Cursor. Secondo OpenSourceMalware, il registro ufficiale Open VSX e il pacchetto npm di Claude Code non sono coinvolti: la versione malevola veniva dal servizio con cui Cursor rispecchia le estensioni. Red Hot Cyber riporta anche che Anthropic sta indagando con Cursor e che i suoi sistemi non risultano compromessi; non abbiamo trovato una dichiarazione pubblica di Anthropic. Red Hot Cyber cita anche Linux, mentre Cursor indica macOS e Windows, pur elencando indicatori per Linux.

Cosa fare subito

1. Cercate la chiave dell’attaccante. Su macOS e Linux usate il comando di Cursor qui sotto; su Windows il controllo in PowerShell indicato nell’avviso, che guarda anche C:ProgramDatasshadministrators_authorized_keys.
2. Se la chiave c’è, isolate la macchina dalla rete e lanciate lo script di rimozione ufficiale: remediate-macos.sh come utente normale (non root) su macOS, remediate-windows.ps1 da PowerShell come amministratore su Windows. Disinstallare l’estensione non basta, perché gli script di persistenza restano.
3. Controllate gli altri indicatori: ~/Library/LaunchAgents/com.apple.sysmond.plist e file .stk_ nella cartella temporanea su macOS; attività pianificata SysMon, %USERPROFILE%.configsmt.cmd e sysmon.cmd in Esecuzione automatica su Windows.
4. Da un computer pulito, ruotate token, chiavi API, chiavi SSH e sessioni accessibili da quella macchina: Cursor avverte che la raccolta dei soli nomi delle variabili non esclude un accesso successivo tramite la backdoor.
5. Valutate la reinstallazione del sistema, soprattutto se Cursor girava con diritti di amministratore.

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"
ls ~/Library/LaunchAgents/com.apple.sysmond.plist
schtasks /query /tn SysMon

Il secondo comando vale per macOS, il terzo per il Prompt dei comandi di Windows: se restituiscono un risultato, la persistenza è installata.

La nostra lettura

È un attacco alla catena di distribuzione nel punto più delicato: un marketplace che rispecchia estensioni altrui e le serve con il nome dell’editore originale, senza una verifica forte di chi le pubblica. Gli editor con agenti AI hanno accesso a codice, terminale e segreti: un’estensione compromessa vale quanto una backdoor sul server. Il consiglio pratico è limitare gli aggiornamenti automatici delle estensioni sulle macchine di lavoro e controllare editore e canale di distribuzione. Per trasparenza: HardWarfare usa modelli di Anthropic, di cui abbiamo scritto in https://hardwarfare.it/ai-software/intelligenza-artificiale/claude-opus-5-5-prezzi-famiglia-anthropic/. Altre notizie su malware in https://hardwarfare.it/category/sicurezza-informatica/malware-ransomware/.

Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo