Une extension Claude Code malveillante atteint le marketplace de Cursor ; les mises à jour de cPGuard livrent une porte dérobée

Une extension de programmation altérée sur le marketplace de Cursor et un système de mise à jour de cPGuard détourné ont placé deux canaux de distribution de logiciels au centre d'incidents de sécurité distincts. SecurityWeek a rapporté que des versions malveillantes de l'extension Claude Code étaient disponibles le 29 octobre, tandis que The Hacker News a rapporté qu'un attaquant avait compromis le système de mise à jour de cPGuard le 2 novembre.

L'incident de Cursor impliquait les versions 2.1.312 et 2.1.313 de l'extension anthropic.claude-code, qui ont été actives sur le Cursor VS Code Extension Marketplace pendant environ 11 heures, selon SecurityWeek. Le chercheur en sécurité Kevin Beaumont a estimé qu'environ 5 000 systèmes de développeurs pourraient avoir téléchargé les versions malveillantes. Ce chiffre représente des téléchargements potentiels, et non un nombre confirmé de systèmes compromis.

Anthropic a déclaré que l'extension n'avait pas été publiée par elle. Dans une déclaration rapportée par SecurityWeek, Felix Rieseberg d'Anthropic a indiqué qu'un acteur malveillant avait utilisé un accès au marketplace de Cursor pour publier une copie altérée de Claude Code qu'Anthropic n'avait ni créée ni publiée.

L'incident de cPGuard a plutôt utilisé le système de mise à jour de l'outil de sécurité pour envoyer un script malveillant aux serveurs Linux des clients, a rapporté The Hacker News, citant un avis d'OPSSHIELD. OPSSHIELD a indiqué que le script installait une porte dérobée et collectait des hachages de mots de passe et d'autres fichiers sensibles sur les serveurs qui l'exécutaient.

OPSSHIELD a estimé tard le 2 novembre UTC que l'attaquant avait dérobé 32 fichiers sur son serveur de licences, chacun lié à un serveur client, selon The Hacker News. Cette estimation concerne les fichiers dérobés par l’attaquant ; elle est distincte de l'estimation des téléchargements potentiels dans l'incident de Cursor.

Les rapports décrivent des compromissions distinctes des canaux de distribution de logiciels : une extension altérée publiée via un marketplace et un script malveillant livré via un système de mise à jour. Aucun rapport n'établit un attaquant commun derrière les deux incidents.