AnthropicのClaude Code拡張2.1.313にSSHバックドア、4000万超インストール

Kevin Beaumont氏の報告によると、Anthropicが侵害され、Claudeへのアクセスに使われるVisual Studio CodeおよびCursor向け拡張機能のバージョン2.1.313が、SSHリバースバックドアを備えたリモートアクセス型トロイの木馬を配布しました。拡張機能のインストール数は4000万を超えます。

AnthropicはClaudeを開発する企業で、Claude Codeは同社のコーディングエージェントです。端末やIDE拡張などから利用できます。

何が起きたか

Beaumont氏はこの事案をサプライチェーン攻撃と位置づけ、マルウェアが開発者のノートPCやデスクトップへの手動および自動のリモートアクセスを可能にしたと述べています。拡張機能はVisual Studio CodeとCursorで悪意あるバージョンへ自動更新されました。エンドポイント上の悪意ある活動を最初に検知したのはPhorionです。

Anthropicは8時間前に2.1.313を2.1.314へ置き換えました。2.1.313はOpenVSX、Visual Studio Marketplace、Cursorから消えています。記事は、Anthropicが顧客へ通知せず、バックドア付きバージョンを告知なしに削除したと述べています。

悪意あるコードの挙動

Cursorは問題を認め、Claude Code拡張の悪意ある改変版がCursorのVS Code拡張マーケットプレイスで提供されたと説明しています。挙動は次のとおりです。

項目	内容
情報収集	ホスト名、ユーザー名、OS、アーキテクチャ、ホームディレクトリ、環境変数名、作業ディレクトリ、設定済みGitメールアドレス、公開IP
バックドア	攻撃者のSSHキーをauthorized_keysへ追加、ローカルSSHサービスを有効化、リバースSSHトンネルを試行
永続化	macOSはLaunchAgent、WindowsはSYSTEMとして実行を試みるスケジュールタスクとStartupスクリプトのフォールバック
再試行	バックグラウンドスクリプトがおよそ60秒ごとにトンネルを再試行
ビーコン	ポート8099の/beaconへHTTP POSTでホスト情報とバックドア状態を送信

Cursorによると、Cursorを管理者権限で起動したような通常ではない状況を除き、悪意あるコードのエラーによりSSHキー追加からトンネル確立までの処理は失敗します。

対処と調査

• 感染済みシステムでは、2.1.314への置き換えだけではSSHバックドアも過去の偵察活動も削除されません。
• Beaumont氏は、Microsoft Defender for Endpointで悪意あるバージョンを調査するためのKQLクエリを公開しています。