トロイの木馬化されたClaude Code拡張機能がCursorユーザーを標的に、SSHバックドアを設置

2026年10月29日、サイバーセキュリティ研究者は、Cursor IDEマーケットプレイスを通じて配布されたAnthropic公式のClaude Code拡張機能のトロイの木馬化されたバージョンを発見しました。正規のバージョン2.1.313を装ったこの悪意あるアップデートは、侵害を封じ込めるためにCursorがマーケットプレイスを閉鎖する前に、影響を受けたシステムに永続的なSSHバックドアのインストールを試みました。

何が起きたか

攻撃者は、Claude Code拡張機能のメインJavaScriptバンドルに悪意あるローダーを注入し、Anthropicの正当なパブリッシャーIDと拡張機能IDの下でこれを配布しました。このサプライチェーン攻撃は特にCursor IDEのユーザーを標的としており、侵害されたパッケージがMicrosoftのVS Code MarketplaceやOpen VSXに到達した証拠はありません。Cursorは、悪意あるバージョンが利用可能だった短い期間中に、最大5,000人のユーザーが影響を受けたことを確認しました。

このインシデントは、2026年10月29日の太平洋時間午前2時27分から午後1時35分頃にかけて発生しました。検出後、Cursorは一時的にマーケットプレイスを停止して侵害されたパッケージを削除し、影響を受けたユーザーへの直接通知を開始しました。その後、Anthropicは汚染されたビルドを置き換えるため、公式チャネルでバージョン2.1.314をリリースしました。攻撃者が正規の拡張機能パイプラインにコードを注入するために使用した正確な方法は依然として不明であり、開発者ツールの第三者配布チャネルのセキュリティに対する懸念が高まっています。

OpenSourceMalwareの共同創設者であるJenn Gile氏は、特定されたパッケージが本物のanthropic.claude-code拡張機能を名乗っていたものの、正規のコードの前に挿入された66行の悪意あるローダーを含んでいたと指摘しました。この手法により、マルウェアは期待される機能を実行しながらペイロードを実行することができ、基盤となるコード構造を検査しないユーザーにとって検知がより困難になります。

仕組み

悪意ある拡張機能は、VS Codeの起動時およびそのWebviewが開かれた際にアクティブ化されます。直ちに、攻撃者が制御するSSHキーをユーザーの~/.ssh/authorized_keysファイルに追加しようと試み、「svc-telemetry」というラベルを付けて正規のサービスアカウントに紛れ込ませます。その後、マルウェアはローカルSSHサービスの有効化と、コマンド＆コントロールサーバー（134.209.82[.]225）へのリバーストンネルの確立を試みます。

永続性を確保するため、マルウェアはプラットフォーム固有のメカニズムをインストールします。Windowsではスケジュールタスク、Linuxではcrontabエントリ、macOSではLaunchAgentsを使用します。また、ポート8099経由で暗号化されていないHTTPを用いて、偵察データを攻撃者のサーバーに送信します。SSHの有効化には管理者権限が必要であり、多くのmacOSおよびWindowsホストでは失敗する可能性がありますが、マルウェアは権限レベルに関係なくSSHキーの追加と永続性の確立には成功します。

ビーコンは、公開IPアドレス、ホスト名、オペレーティングシステム、CPUアーキテクチャなど、機微なホスト情報を送信します。重要なのは、KEY、TOKEN、SECRET、PASS、AWS、GCPなどのキーワードを含む最大40個の環境変数の名前を外部に漏洩させる点です。値自体は初期のビーコンでは送信されませんが、変数名からクラウド認証情報やCIシステム設定の存在が明らかになり、SSHアクセスが達成された場合のさらなる悪用に向けた道筋を提供します。

主要な詳細

• 影響を受けるバージョン: Cursor Marketplaceを通じて配布されたバージョン2.1.313のみが侵害されました。Microsoft VS Code MarketplaceおよびOpen VSX上のバージョンは影響を受けていません。
• 影響範囲: 2026年10月29日の太平洋時間午前2時27分から午後1時35分の間に、最大5,000人のユーザーが悪意あるアップデートをインストールしました。
• 永続性メカニズム: マルウェアは、Windows、Linux、macOSでの再起動後もアクセスを維持するために、スケジュールタスク、crontabs、LaunchAgentsを使用します。
• データ漏洩: ホストの偵察データと環境変数名を、暗号化されていないHTTP経由で134.209.82[.]225:8099に送信します。
• SSHバックドア: 「svc-telemetry」とラベル付けされた攻撃者制御のキーを~/.ssh/authorized_keysに追加し、リバーストンネルを確立しようと試みます。
• 対策: Anthropicはクリーンなバージョン2.1.314をリリースしており、Cursorは影響を受けたユーザーへ直接連絡を取っています。

なぜ重要なのか

このインシデントは、重要な開発ツールにおいて第三者マーケットプレイスに依存することに伴うリスクを浮き彫りにしています。元のソフトウェアベンダーが信頼できる場合でも、配布チャネルが単一の障害点となり得ます。エンジニアリングチームにとって、これはチェックサムの検証や自動パイプライン内の予期せぬ更新の監視など、厳格なサプライチェーンセキュリティ慣行の必要性を強調するものです。マルウェアが正規のアップデートIDを模倣していたという事実は、自動更新を有効にしているユーザーにとって特に危険であることを意味します。

環境変数名の盗難は、現代のクラウドネイティブ開発にとって重大な脅威ベクトルです。攻撃者は認証情報の値を即座に盗んではいませんでしたが、開発者の環境にどのシークレットが存在するかを知ることは、SSHバックドアが成功した場合のターゲット型フィッシングやさらなる悪用を可能にします。技術リードにとって、これは最小権限の原則を徹底し、特にローカル環境変数に保存されている認証情報を定期的にローテーションするよう促す警告となります。

実施すべきこと

• インストールの確認: 2026年10月29日の太平洋時間午前2時27分から午後1時35分の間に、Cursor MarketplaceからClaude Codeバージョン2.1.313をインストールしたかどうかを確認してください。
• 影響を受けたホストの隔離: 感染が疑われる場合は、さらなるデータ漏洩やリモートアクセスを防ぐために、マシンをネットワークから切断してください。
• 悪意あるアーティファクトの削除: 「svc-telemetry」とラベル付けされた未承認のSSHキーを~/.ssh/authorized_keysから削除し、不明なスケジュールタスク、crontabs、またはLaunchAgentsをすべて削除してください。
• 認証情報のローテーション: AWS、GCP、またはCIシステムに関連するものを中心に、環境変数に保存されているすべてのAPIキー、トークン、シークレットを直ちにローテーションしてください。
• 安全なバージョンへの更新: Cursor Marketplaceではなく、Microsoft VS Code MarketplaceまたはOpen VSXからAnthropicのクリーンなバージョン2.1.314をインストールしてください。
• 異常の監視: 134.209.82[.]225へのアウトバウンド接続についてネットワークログを確認し、不正なログイン試行についてSSHログを監視してください。