L’extension Claude Code piégée dans la boutique de Cursor

EElias

Alors, le 29 octobre, la boutique d’extensions de Cursor a distribué une version malveillante de Claude Code, l’outil de programmation d’Anthropic. Ars Technica indique que la version 2.1.313 aurait été publiée depuis le compte Anthropic vérifié sur Cursor, en remplacement de la version 2.1.312. Ce compte vérifié donne à la publication l’apparence d’une mise à jour issue de l’éditeur, mais ne permet pas d’établir qui a préparé le paquet ni comment il a été déposé. Cursor précise que cette version n’a pas été développée par Anthropic : il faut donc distinguer la diffusion sur la boutique de Cursor d’une compromission de la distribution officielle d’Anthropic, qui n’est pas confirmée par les éléments disponibles. La manière dont les attaquants auraient obtenu l’accès au compte reste inconnue, et le lien entre ce compte et le point de départ de l’attaque n’est pas établi. Le problème concerne donc à la fois le contenu du paquet et le chemin par lequel il a pu arriver aux utilisateurs. Dans ce cas, la présence du compte vérifié ne suffit pas à répondre à la question centrale : qui contrôlait effectivement la publication ? Cursor a indiqué que le paquet cherchait à recueillir des renseignements sur les ordinateurs et à tenter d’établir un accès distant. Cela ne permet pas de conclure que les tentatives ont réussi, ni que toutes les personnes ayant reçu l’extension ont subi les mêmes effets.

EElias

Cursor active par défaut les mises à jour automatiques des extensions, même si l’utilisateur peut désactiver cette option dans les réglages. Donc, si une personne avait déjà installé Claude Code et gardé ce réglage, la version 2.1.313 pouvait lui parvenir sans qu’elle aille la chercher manuellement. Ars Technica précise que cette version a remplacé la précédente dans la boutique de Cursor. AlphaSignal indique que le code malveillant pouvait s’exécuter dès l’activation de l’éditeur, sans qu’il soit nécessaire de lancer une conversation avec Claude Code. Ce mécanisme aide à comprendre la portée potentielle de l’incident : une mise à jour disponible dans une boutique peut rejoindre des installations existantes par le circuit automatique, plutôt que par une nouvelle recherche ou un téléchargement volontaire. Cela ne signifie pas pour autant que chaque personne exposée a effectivement ouvert son éditeur pendant la période concernée, ni que chaque fonction du paquet a pu s’exécuter. La version compromise aurait été disponible environ 11 heures jeudi, selon AlphaSignal. Cette durée indique une fenêtre limitée, mais elle a pu suffire à toucher des personnes dont les extensions se mettaient à jour pendant ce laps de temps. Anthropic a publié la version 2.1.314 quelques heures après la mise en ligne de la version compromise, d’après Ars Technica, qui la présente comme la version de remplacement saine.

EElias

The Decoder indique que l’extension tentait de récupérer plusieurs renseignements sur l’ordinateur : son nom d’hôte, le nom d’utilisateur, le système d’exploitation et l’adresse Internet publique. Ces informations peuvent servir à caractériser une machine et à distinguer un appareil d’un autre, mais les éléments disponibles ne disent pas combien de données ont effectivement été transmises. Cursor indique aussi que l’extension tentait d’établir un accès distant pour l’attaquant, ce qui représente une autre étape que la simple collecte de renseignements. Cette tentative aurait probablement échoué sur la plupart des machines parce qu’elle nécessitait des privilèges administrateur. Il faut donc séparer trois choses : l’exposition à la version, les actions que le code cherchait à effectuer et la réussite éventuelle de ces actions sur un ordinateur donné. Cursor estime qu’au maximum 5 000 utilisateurs ont été exposés et dit qu’il contactera directement les personnes concernées. Ce chiffre est un plafond estimé, pas un décompte de machines où des informations auraient été récupérées ou où un accès distant aurait fonctionné. Il ne faut pas non plus le lire comme la preuve que 5 000 personnes ont subi une intrusion : le nombre réel d’installations concernées et les conséquences sur chacune ne sont pas précisés. À l’inverse, le fait que l’accès distant ait probablement échoué sur la plupart des machines ne permet pas d’affirmer qu’il a échoué partout. La portée dépend notamment de la présence de l’extension et des conditions dans lesquelles elle a été activée. Cursor dit que les personnes potentiellement touchées seront contactées, mais l’estimation publique ne détaille pas les résultats appareil par appareil. Pour comprendre le risque, il faut ainsi garder distincts le maximum d’utilisateurs exposés et le nombre, non établi ici, de compromissions réussies.

EElias

Cursor a retiré la version 2.1.313 et a temporairement mis sa boutique hors ligne. AlphaSignal indique que l’entreprise a renouvelé des clés et reconstruit la marketplace, puis travaillé avec des fournisseurs pour neutraliser le logiciel malveillant. Next rapporte que l’hébergeur a également mis hors ligne le serveur associé à l’attaquant. La boutique a ensuite été rétablie après les opérations de neutralisation, et Cursor affirme qu’aucune autre extension n’a été touchée. Ce sont des mesures de confinement et de remise en service ; elles ne disent pas, à elles seules, où l’attaque a commencé ni comment la publication a été rendue possible. Next indique que les sources divergent sur l’origine : Phorion et StepSecurity l’attribuent à Open VSX, tandis qu’une mise à jour de The Hacker News a désigné Cursor seul. L’échantillon analysé a été associé à Open VSX, mais cette provenance ne permet pas d’établir que l’artefact malveillant a d’abord été modifié là. Next souligne aussi que les retraits signalés sur d’autres plateformes pourraient avoir été des précautions, et ne prouvent pas une compromission de la distribution officielle d’Anthropic. Ars Technica indique que Cursor et Anthropic n’ont pas expliqué comment les attaquants auraient obtenu le contrôle du compte Anthropic vérifié sur Cursor. Le point de départ et le vecteur de l’attaque restent donc inconnus. On sait qu’une version malveillante a été distribuée par la boutique de Cursor, mais les éléments disponibles ne permettent pas de raconter avec certitude les étapes précédentes, ni de trancher entre les différentes pistes publiées. Il faut aussi distinguer le compte présenté comme officiel sur Cursor de la chaîne de distribution officielle d’Anthropic : le premier aurait servi à publier la version compromise, sans que cela établisse une compromission générale des systèmes de l’entreprise.

EElias

La première limite concerne le chiffre de 5 000 : il s’agit du maximum d’utilisateurs que Cursor estime avoir exposés, pas d’un bilan de victimes dont les appareils auraient été pris en contrôle. La deuxième tient à l’accès distant : Cursor estime qu’il aurait probablement échoué sur la plupart des machines, faute des privilèges administrateur nécessaires, mais cela ne permet pas de connaître le résultat pour chaque ordinateur. La troisième limite concerne la provenance. Les informations disponibles ne confirment pas une compromission de la distribution officielle d’Anthropic, et elles ne permettent pas de déterminer comment la version malveillante a été publiée sur Cursor. Cursor affirme que ses contrôles n’ont révélé aucune autre extension modifiée, mais cette conclusion concerne les vérifications de sa boutique et ne renseigne pas sur l’état de chaque appareil exposé. Pour les personnes qui pensent avoir reçu la version 2.1.313, Cursor dit qu’il contactera directement les utilisateurs concernés. AlphaSignal recommande aux personnes concernées d’appliquer les scripts de remédiation de Cursor, car la désinstallation ou la mise à jour de l’extension ne suffirait pas nécessairement à supprimer d’éventuelles modifications locales. La version 2.1.314 est présentée comme le remplacement sain, mais installer cette version ne prouve pas, à lui seul, que toutes les traces d’une éventuelle exécution ont disparu. Il faut donc suivre les consignes de sécurité communiquées par Cursor et ne pas confondre la correction de la boutique avec la vérification d’un ordinateur individuel. Ici, le nom familier de l’extension et la mise à jour automatique ont pu faciliter sa diffusion, tandis que l’origine exacte de la publication reste à éclaircir.