Kwaadaardige Claude Code-extensie bereikt Cursor Marketplace; cPGuard-updates leveren backdoor

Een gemanipuleerde programmeerextensie in de marketplace van Cursor en een gekaapt cPGuard-updatesysteem plaatsten twee softwareleveringskanalen centraal in afzonderlijke beveiligingsincidenten. SecurityWeek meldde dat kwaadaardige versies van de Claude Code-extensie op 29 oktober beschikbaar waren, terwijl The Hacker News meldde dat een aanvaller op 2 november was binnengedrongen in het updatesysteem van cPGuard.

Het Cursor-incident betrof versies 2.1.312 en 2.1.313 van de anthropic.claude-programmeerextensie, die volgens SecurityWeek ongeveer 11 uur live stonden in de Cursor VS Code Extension Marketplace. Beveiligingsonderzoeker Kevin Beaumont schatte dat ongeveer 5.000 ontwikkelaarssystemen de kwaadaardige versies mogelijk hadden gedownload. Dat cijfer staat voor potentiële downloads, niet voor een bevestigd aantal gecompromitteerde systemen.

Anthropic verklaarde dat de extensie niet van hen afkomstig was. In een verklaring die door SecurityWeek werd gerapporteerd, zei Felix Rieseberg van Anthropic dat een kwaadwillende partij zijn toegang tot de marketplace van Cursor had gebruikt om een gemanipuleerde kopie van Claude Code te publiceren die Anthropic noch had gebouwd noch had gepubliceerd.

Het cPGuard-incident gebruikte in plaats daarvan het updatesysteem van de beveiligingstool om een kwaadaardig script naar de Linux-servers van klanten te sturen, aldus The Hacker News, onder verwijzing naar een OPSSHIELD-advies. OPSSHIELD zei dat het script een backdoor installeerde en wachtwoordhashes en andere gevoelige bestanden verzamelde van servers waarop het werd uitgevoerd.

OPSSHIELD schatte laat op 2 november (UTC) dat de aanvaller 32 bestanden van zijn licentieserver had gehaald, elk gekoppeld aan één klantserver, aldus The Hacker News. Die schatting betreft door de aanvaller buitgemaakte bestanden; ze staat los van de schatting van potentiële downloads bij het Cursor-incident.

De rapporten beschrijven afzonderlijke compromitteringen van distributiekanalen voor software: een gemanipuleerde extensie die via een marketplace werd gepubliceerd en een kwaadaardig script dat via een updatesysteem werd geleverd. Geen van beide rapporten stelt een gemeenschappelijke aanvaller achter de twee incidenten vast.