Une version spécifique de l’extension Claude Code pour VS Code, nommée Anthropic.claude-code version 2.1.313, a été compromise pour intégrer un mécanisme de porte dérobée SSH persistant. Ce code malveillant a été distribué brièvement sur le marché des extensions de Cursor, affectant potentiellement jusqu’à 5 000 utilisateurs, selon les déclarations de Cursor.

La découverte a été faite par des chercheurs de sécurité, dont Phorion. Ils ont confirmé que l’extension, censée assister les développeurs, contenait un code injecté dès le chargement. Il ne fallait aucune interaction de l’utilisateur pour que le payload se déclenche. Ce préfixe injecté utilise des modules Node.js standards – child_process, fs, os, path, http, et crypto – pour exécuter les commandes avant même que la fonction d’activation normale de l’extension ne s’exécute.

L’objectif de cette intrusion est clair : obtenir un accès interactif et durable au système. Le mécanisme principal consiste à ajouter une clé publique contrôlée par l’attaquant, identifiée par le commentaire svc-telemetry, au fichier authorized_keys de l’utilisateur, ce qui permettrait une authentification par SSH. Le script tente ensuite d’activer le service SSH local, que ce soit sous Linux via systemctl, sous Windows avec OpenSSH Server, ou sous macOS par systemsetup.

Les mécanismes de persistance et de reconnaissance

Au-delà de l’accès SSH, le malware est conçu pour survivre aux redémarrages. Sur macOS, il installe un fichier de démarrage au format Apple-style. Sous Linux, un élément cron est ajouté. Sur Windows, il tente de créer une tâche planifiée, avec un mécanisme de repli vers le dossier de démarrage si cela échoue.

En parallèle, le code exfiltre des informations sur l’hôte. Il collecte le nom d’hôte, le nom d’utilisateur, le système d’exploitation, le chemin du répertoire personnel, et même les noms de près de quarante variables d’environnement qui pourraient contenir des clés d’API ou des mots de passe AWS/GCP. Ces données sont envoyées via une requête HTTP POST à l’endpoint /beacon sur le port 8099 de l’attaquant.

Les failles d’implémentation qui limitent l’impact sur macOS

Si l’intention était de créer une faille parfaite, l’implémentation sur macOS présente une lacune notable. Pour activer le service Remote Login, le script tente d’abord de vérifier son état sans privilèges élevés. Or, comme l’a relevé Phorion, l’exécution de systemsetup -getremotelogin par un utilisateur standard renvoie un message d’erreur demandant des droits administrateur, tout en retournant un statut de succès (zéro). Le malware interprète ce retour comme un état ‘Off’, ce qui fait que l’étape d’activation SSH est sautée.

Ce bug signifie que, sur un Mac où SSH n’était pas déjà actif, l’accès entrant est bloqué, même si la clé SSH et les mécanismes de persistance sont bien déposés. Calum Hall, PDG de Phorion, a toutefois souligné que ce défaut n’est pas une défense : si le Remote Login est déjà activé, ou si l’utilisateur l’active plus tard, la porte dérobée est prête à l’emploi. Le but de ce payload reste l’accès interactif à long terme, et même avec cette faille, le malware constitue une menace sérieuse en installant la persistance et en faisant des rapports de reconnaissance de l’hôte vers l’opérateur.

Sources

• Official Claude Code Extension Compromise: Security Advisory | Phorion, phorion.io
• Security notice — malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension Marketplace · Cursor, cursor.com
• Claude Code extension poisoned with persistent SSH backdoor, Help Net Security, 30 octobre 2026
• Claude Code: Millionenfach installierte VS-Code-Erweiterung kompromittiert, Golem, 30 octobre 2026
• Official Claude Code VS Code Extension Compromised to Install Persistent SSH Backdoor, The Hacker News, 30 octobre 2026