コードエディタ開発会社Cursorは、特定バージョンのClaude Code拡張機能をインストールしたユーザーに対し、包括的なホストクリーンアップと認証情報のローテーションを実施するよう警告するセキュリティアドバイザリを発表しました。同社はmacOSとWindows向けのAnthropic.claude-codeバージョン2.1.312および2.1.313が同社マーケットプレイスに一時的に掲載されていたことを確認しました。Cursorによれば、これらの不正バージョンはAnthropicによって開発されたものではなく、他のバージョンや公式配布チャネルが侵害された証拠はありません。この事案はサードパーティ拡張機能マーケットプレイスに依存する開発者にとって、サプライチェーンリスクの深刻さを浮き彫りにしています。

永続的なアクセス手法

セキュリティ研究者Phorionは、2026年10月31日にマルウェア分析を更新し、ペイロードの動作を詳細に説明しました。悪意あるコードはNodeが拡張モジュールを読み込む際に、通常のアクティベーションコールバックの前に実行されます。その主目的は、攻撃者が管理するSSHキーを追加し、ホストのSSHリモートログインサービスを有効化し、リバーストンネルを作成して永続的なリモートアクセスを確立することです。Phorionは、永続性はmacOSのLaunchAgent、Windowsではスケジュールタスクとスタートアップフォルダのフォールバックによって実現されると指摘しています。そのため、拡張機能を単にアンインストールするだけではこれらのコンポーネントが残り、SSHサービスが有効な限り攻撃者がアクセスを維持できる可能性があります。

限定的なデータ収集と範囲

マルウェアが送信した最初のビーコンはホスト情報と最大40個の環境変数名（値は含まれない）を報告しました。これにより初期のデータ流出は限定的と考えられますが、Cursorはこれが後続の認証情報取得を排除するものではないと警告しています。リモートアクセスの成功は特定のホスト構成に依存しており、PhorionはmacOS版で標準ユーザーとして実行された際にリモートログインを有効化しないバグを発見しましたが、植え付けられたキーはSSHが既に有効か、後で有効化された場合でもアクセスを許可します。CursorのアドバイザリやPhorionの分析では、暗号資産の盗難や暗号特有の標的化は確認されていません。

対策と次のステップ

Cursorはホスティングプロバイダーと協力して攻撃者サーバーをオフラインにし、悪意あるパッケージを削除、独自キーをローテーションし、マーケットプレイスを再構築したと述べています。しかし、これらの措置は既にユーザー端末にインストールされたコンポーネントを除去しません。同社は影響を受けたユーザーに対し、エンドポイント、ネットワーク、拡張インストール記録を確認し、侵害されたホストを特定するよう推奨しています。対象マシンを隔離し、未承認のSSHキー、永続化メカニズム、稼働中のトンネルを除去し、必要に応じてホストの全面的な再構築を検討すべきです。重要なのは、信頼できるシステムから影響を受けたホスト上のすべての認証情報とセッションをローテーションすることです。暗号開発者にとっては、ローカルユーザーアカウントからアクセス可能な開発用や金融サービス用の認証情報も対象となります。