Cursorで偽Claude Code配布、最大5000人

Cursorは10月29日（米国時間）、AnthropicのClaude Code拡張機能の偽版が自社ストアで配られたと発表しました。

ストアで何が起きたのか

Cursorは、プログラムを書く人向けの道具を配る「拡張機能ストア」を運営しています。そこに、Anthropicが作っていない偽のClaude Codeが公開されていました。見つけたのは英国のセキュリティ会社Phorionです。

対象はWindowsとMac用です。バージョンは、窓の杜が2.1.312と2.1.313、Help Net SecurityとSophosが2.1.313と伝えています。Cursorは、ほかの拡張機能に影響はないとしています。

偽版に仕込まれていた中身

偽版は、入れた人が何もしなくても動き出します。攻撃者のSSH鍵（遠隔操作に使う鍵）をパソコンに登録し、バックドア（外から出入りする裏口）を作ろうとします。

あわせて、パソコン名、ユーザー名、OS、Gitに登録したメールアドレス、公開IPアドレスを攻撃者に送ります。Windowsはタスクスケジューラー、Macは起動時の仕組みで居座り、約60秒ごとに接続をやり直します。

Cursorによると、通常の権限ではバグや権限不足で完全には動きません。ただし、鍵の追加、居座りの設定、情報の送信は実行されました。Phorionは、MacでSSHのリモートログインがオンなら裏口が働くと警告しています。攻撃者のサーバーは現在オフラインです。

影響を受けた人と時間

配られていたのは、日本時間の10月29日18時27分ごろから30日5時35分ごろまでの約11時間です。Cursorは、影響を受けたのは最大5000人としています。The Registerは、この人数を業界関係者の指摘として扱い、確認済みの数字とはしていません。

AnthropicのFelix Rieseberg氏は、同社のシステムや社員のパソコンは侵害されていないと説明しました。公式の配布先（Visual Studio MarketplaceとOpen VSX）も無事で、影響はCursorのストア経由で入れた人だけです。偽版がストアに載った経緯は、両社とも説明していません。

Cursorの対応と確認方法

Cursorは偽版を削除し、ストアをいったん全面停止しました。アクセスの調査、鍵の入れ替え、ストアの作り直しを終えて再開しています。最新のv2.1.314への更新も呼びかけています。

拡張機能を消すだけでは、居座りの仕組みが残る場合があります。確認する場所は、SSHの許可リスト（authorized_keysというファイル）です。「svc-telemetry」という名前の鍵があれば、被害を受けています。Windowsは、administrators_authorized_keysというファイルも調べます。

確認用のコマンドと削除用のスクリプトは、Cursorのセキュリティのお知らせページに載っています。