L'extension officielle qui cachait une porte dérobée

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

• ✓ÉtabliLa version 2.1.313 de l'extension Claude Code, distribuée dans la place de marché de Cursor, contenait un code malveillant[1][2][3]
• ✓ÉtabliDistribution du 29 octobre entre environ 2 h 27 et 13 h 35, heure du Pacifique, soit environ 11 heures[1][4]
• ≈RapportéJusqu'à 5 000 utilisateurs touchés, selon Cursor[1]
• ✓ÉtabliBloc de 66 lignes inséré au début d'extension.js, exécuté dès le chargement du module, sans interaction de l'utilisateur[2][3]
• ✓ÉtabliAjout d'une clé SSH publique de l'attaquant, étiquetée svc-telemetry, dans le fichier des clés autorisées du compte[1][2][3]
• ✓ÉtabliTunnel SSH sortant vers 134.209.82.225, relancé toutes les 60 secondes et maintenu après la fermeture de l'éditeur[1][2][3]
• ✓ÉtabliPersistance par LaunchAgent com.apple.sysmond sur macOS, entrée cron au redémarrage sur Linux, tâche planifiée SysMon avec repli sur le dossier Démarrage sur Windows[2][3][1]
• ✓ÉtabliL'activation du service SSH échoue le plus souvent faute de droits administrateur, et sur macOS un contrôle erroné saute même l'étape[1][2][4]
• ✓ÉtabliCollecte du nom d'hôte, de l'utilisateur, du système, des répertoires, de l'adresse Git, de l'IP publique et des noms d'au plus 40 variables d'environnement ressemblant à des secrets[2][3][1]
• ✓ÉtabliServeur de l'attaquant mis hors ligne par son hébergeur, ce qui coupe le tunnel et les remontées d'information[1][4]
• ✓ÉtabliDésinstaller l'extension ne suffit pas : des scripts de persistance autonomes subsistent ; rotation des identifiants et reconstruction du poste recommandées[1][2]
• ?InconnuAuteur de la publication sous l'identité de l'éditeur inconnu, mode d'introduction non établi, aucune intrusion confirmée à ce jour[1][2]
• ≈RapportéSelon Cursor, cette version n'a pas été développée par Anthropic et aucun autre paquet ne semble touché[1][3]