Diffusée via Cursor, la version 2.1.313 de Claude Code installait la clé SSH d’un attaquant et un tunnel persistant. Voici comment vérifier si vous êtes touché.
Le post Claude Code : une version piégée de l’extension a ouvert une porte dérobée SSH chez des utilisateurs de Cursor a été publié sur IT-Connect.
Une version piégée de l’extension Claude Code pour Visual Studio Code a été distribuée le 29 octobre dans la boutique Cursor. Elle installait une porte dérobée SSH persistante. Même si le problème a été résolu, l’extension frelatée a été installée par environ 5 000 personnes et pose de nouveau la question des chaînes d’approvisionnement.
Dans la journée du 29 octobre, quelque part entre 10h27 et 21h35 (heure de Paris), une version vérolée de l’extension Claude Code pour VS Code a été distribuée dans la boutique de Cursor. Estampillée 2.1.313, elle est restée suffisamment de temps en ligne pour avoir été téléchargée. Les 5 000 personnes concernées sont actuellement contactées, a indiqué Cursor.
L’éditeur dit avoir supprimé la version, arrêté intégralement sa boutique d’extensions, audité les accès, renouvelé ses clés, reconstruit la boutique et fait mettre hors ligne le serveur de l’attaquant par son hébergeur. Les différents contrôles n’ont révélé aucune autre extension modifiée.
Le principal point flou dans cette histoire est que l’on ne sait pas exactement quand tout a commencé. Tout dépend de qui raconte l’incident.
Chez Phorion par exemple, l’attaque est présentée comme une compromission de la fiche officielle sur Open VSX, la marketplace ouverte de la Fondation Eclipse pour l’écosystème des éditeurs API compatibles avec VS Code. Phorion affirme également qu’Anthropic a retiré la version 2.1.313 d’Open VSX, de npm et même du Marketplace de Microsoft pour VS Code.
OpenSourceMalware, qui a publié la première analyse, indique que l’échantillon analysé provenait bien d’Open VSX. Le site en a déduit une diffusion par npm et le Marketplace de Microsoft en se basant sur un constat : la version 2.1.313 n’y figurait plus. Il précise que la provenance de l’artefact n’est pas établie et que ses conclusions ne prouvent pas une compromission de la distribution officielle d’Anthropic. Et pour cause, les retraits de npn et du Marketplace peuvent n’être qu’une mesure de sécurité, dans l’optique de supprimer toutes les versions 2.1.313 existantes. Problème, pour l’instant, ni Anthropic ni Microsoft n’ont réagi publiquement à l’incident.
Chez StepSecurity, on affirme que la compromission a commencé chez Open VSX avant d’être étendue à Cursor, puisque la boutique de ce dernier est un intermédiaire dont la base se synchronise avec le registre Open VSX. Les contrôles de sécurité appliqués sur ce dernier sont limités, avec un examen portant sur les motifs malveillants les plus connus. Ce qui signifie que l’extension vérolée aurait passé non seulement ces contrôles, mais également ceux de Cursor, plus poussés.
Illustration de ces incertitudes, The Hacker News a mis à jour son article pour indiquer que la compromission venait de Cursor seul. Pour cela, il faudrait que l’infrastructure propre à Cursor ait été compromise, ce que l’éditeur ne dit pas clairement. Cependant, le nombre d’actions entreprises pourrait aller dans ce sens, Cursor ayant renouvelé ses clés et reconstruit son magasin.
Si on ne sait pas comment tout a commencé ni qui est réellement concerné, on connait en revanche mieux le fonctionnement du code malveillant, les analyses de Phorion, OpenSourceMalware et Cursor s’accordant sur les détails.
L’extension contient ainsi un chargeur de 66 lignes, placé en tête du fichier extension.js. Il se lance dès le chargement du module, sans nécessiter d’action de l’utilisateur et donc avant même de lancer une conversation avec Claude. Ce chargeur ajoute une clé publique SSH liée à l’attaquant dans le dossier ~/.ssh/authorized_keys, pour lui donner un accès distant permanent sur l’ordinateur de la victime. La clé est étiquetée « svc-telemetry » pour paraitre anodine.
Le code vérifie ensuite que le service SSH est présent et actif. Dans le cas contraire, il tente de l’activer. Sur la plupart des Mac et PC sous Windows, l’étape échoue, non seulement faute de droits administrateur mais aussi car le code contient des erreurs. Sur Linux, le code réussit.
Le malware cherche ensuite à faire établir une connexion sortante vers le serveur de l’attaquant et à la maintenir ouverte. L’attaquant n’a alors plus qu’à emprunter ce tunnel en sens inverse pour atteindre la porte SSH et entrer avec sa clé privée, ouvrant la voie vers un terminal et la possibilité de lancer des commandes.
Le code installe aussi un petit script qui se relance à chaque démarrage de l’ordinateur et retente la connexion une fois par minute. Sur macOS, ce script se déguise en composant Apple (com.apple.sysmond), sur Windows en tâche Sysmon ou en script dans le dossier Démarrage, et sur Linux en tâche planifiée. La désinstallation de l’extension ne suffit donc pas. Le code envoie enfin une fiche descriptive de la machine avec nom de l’ordinateur, utilisateur, système, adresse IP publique, adresse électronique Git et dossier de travail.
Cette charge utile ne vole donc en elle-même aucune information cruciale, mais elle prépare le terrain. Le danger vient avant tout de ce que le pirate peut réaliser une fois la connexion établie via SSH.
La fiche de Cursor sur l’incident, publiée hier soir, mentionne uniquement des vérifications à faire pour macOS et Windows. L’éditeur ne le dit pas explicitement, mais il semble que Linux ne soit curieusement pas concerné, malgré les détails techniques allant pourtant dans ce sens.
Faute de script officiel, les analyses de Phorion et OpenSourceMalware présentent une série de commandes bash. Dans les trois cas cependant, si une preuve de compromission est détectée, il faudra effectuer plusieurs manipulations. Mais la recommandation est claire : réinstaller complètement la machine sera l’option la plus sûre.
Cursor indique dans son billet que les 5 000 personnes (environ) qui ont installé l’extension modifiée sont contactées pour être averties du problème.
L’entreprise de paris en ligne a dû suspendre l’accès à sa plateforme pendant un peu moins d’une heure : des pirates ont pu accéder aux comptes de certains de ses utilisateurs et récupérer les sommes accumulées. Polymarket rejette le problème sur un prestataire tiers. Celui-ci pourrait être DebugBear.
Ce jeudi 29 octobre, Polymarket a annoncé avoir mis temporairement sur pause l’utilisation de sa plateforme internationale Polymarket.com, sur laquelle elle n’a permis pendant un peu moins d’une heure à ses utilisateurs que d’annuler leurs paris.
« Polymarket.com : La plateforme de change fonctionne actuellement en mode « annulation uniquement » et les opérations des relais sont suspendues le temps que nous menions une enquête sur un incident », informait le compte X de l’entreprise hier soir. Une heure plus tard, elle affirmait que le problème était résolu après avoir expliqué : « L’un de nos prestataires tiers a été victime d’une intrusion, et nous avons signalé ce fait aux autorités compétentes ».
Mais l’incident semble avoir fait perdre leurs portemonnaies à certains utilisateurs de la plateforme. Si l’entreprise n’a pas explicitement confirmé que certains ont perdu de l’argent, elle assurait que « Toute personne ayant subi un préjudice sera indemnisée intégralement ».
Selon CNBC, Polymarket a expliqué à ses utilisateurs sur Discord que les personnes qui ont perdu moins de 10 000 dollars se verront remboursées d’ici le 30 octobre. Pour ceux dont la somme perdue est plus importante, ils devront d’abord signer une décharge pour pouvoir récupérer leur argent. L’entreprise d’analyse de données Bubblemaps a estimé à plus de 700 le nombre d’utilisateurs touchés, et évoque le chiffre de 2,7 millions de dollars volés.
Selon des sources de Reuters, le problème viendrait de l’utilisation des outils de DebugBear. En parallèle de l’incident, cette entreprise qui fournit des outils de monitoring pour les sites web a posté un message sur X expliquant que « Nous sommes actuellement confrontés à un incident de sécurité », et demandant à ses utilisateurs : « si vous utilisez notre produit RUM, veuillez supprimer le code d’intégration de votre site web ». Selon CNBC, comme DebugBear est basée au Royaume-Uni, c’est aux autorités de ce pays que Polymarket a indiqué le problème. DebugBear n’a pas répondu aux sollicitations de nos confrères pour en savoir plus.
Ce problème de sécurisation des portemonnaies des utilisateurs de Polymarket ne va pas arranger ses relations avec les autorités à travers le monde. Rappelons que l’activité de Polymarket est mise en cause par l’État de New York pour activité illégale de jeux d’argent.
En France, le site de l’entreprise est bloqué par les principaux fournisseurs d’accès à Internet via une demande de l’Autorité nationale des jeux (ANJ), qui considère qu’il « fait la promotion d’une offre illégale de jeux d’argent et de hasard ». En septembre, l’entreprise faisait du lobbying en Europe pour assurer aux autorités que son activité était plus à ranger dans celles des « marchés prédictifs » que de sites de paris en ligne.
Le département américain de la Sécurité intérieure (DHS) a des fuites. Et pas qu’un peu. Des données personnelles sur plus de 41 000 employés et prestataires sont dans la nature, tout comme des informations sensibles sur des programmes de surveillance.
Un groupe de pirates se faisant appeler « Department of Peace » aurait obtenu les données volées sur les serveurs du DHS, puis transmises au site Distributed Denial of Secrets (DDoSecrets) qui a publié une archive sous le nom « Icepick ». Les fichiers, mis à jour pour la dernière fois le 19 août, ont été consultés par WIRED.
Le ministère confirme par le biais d’un porte-parole avoir eu connaissance d’une « possible intrusion » et travaille à y remédier « rapidement et efficacement ». « Nous prenons au sérieux toutes les menaces visant la sécurité de nos employés et de nos agents et veillerons à ce que tous soient correctement protégés », ajoute-t-il.
DDoSecrets explique que les données proviennent du système d’authentification Okta du DHS. L’entreprise dément toute intrusion : « Nous avons pris connaissance de ces informations. Okta est sécurisé et nous n’avons aucune preuve que nos données ou nos systèmes aient été compromis ». Quoi qu’il en soit, la fuite expose les données (adresses email, numéros de téléphone, adresses des bureaux) de 41 000 employés et fournisseurs du ministère.
Depuis le retour de Donald Trump à la Maison-Blanche, le DHS, qui chapeaute notamment la police de l’immigration ICE et les services de protection des frontières, s’est transformé en citadelle du secret. Au cœur de la politique migratoire radicale de l’administration, le DHS est critiqué pour ses méthodes musclées de surveillance des opposants et pour l’opacité entourant ses agents et ses opérations.
« Ils ont nos informations, il est donc normal que nous ayons les leurs », se justifient les hackers de Department of Peace. La fuite dépasse cependant l’annuaire d’adresses ; elle révèle aussi les noms de responsables hiérarchiques et plus de 55 000 groupes qui définissent les accès aux outils et systèmes internes du DHS.
Les noms de ces groupes permettent d’identifier les logiciels utilisés – la fuite contient des références à des outils IA comme ChatGPT, Gemini, Copilot et Grok – les programmes de surveillance (comme la plateforme Falcon de Palantir) et certaines opérations (notamment de surveillance et de couverture) auxquels les personnels ont accès.
Cette fuite pourrait par exemple révéler des agents liés aux activités de l’ICE en charge de l’immigration. Toutes ces informations permettent de reconstituer l’organigramme du DHS. La base de données peut être consultée sur un site créé par la chercheuse en sécurité maia arson crimew, qui estime que malgré l’intimidation exercée par le DHS, il ne faut pas « renoncer à enquêter sur eux ».
Alexander Leslie, spécialiste de la sécurité chez Recorded Future spécialisée sur les cybermenaces, explique à WIRED que « si ces données sont authentiques et à jour, elles constituent une source de renseignement d’une valeur exceptionnelle pour quiconque cherche à infiltrer le DHS. »
« [La] valeur [de ces données] augmente considérablement lorsqu’elles sont croisées avec des informations déjà compromises, des données commerciales et d’autres renseignements. Un adversaire pourrait passer des mois à exploiter ces liens pour repérer des personnels vulnérables, préparer des usurpations d’identité convaincantes ou compromettre des enquêtes en cours. »
Cette fuite rappelle celle du FBI orchestrée en septembre dernier par les pirates de ShinyHunters. Ils n’ont cependant jamais publié les données subtilisées. La situation ici est donc différente, puisque les informations du DHS sont disponibles en ligne. Le réseau social Bluesky a d’ailleurs bloqué les liens vers l’archive.
Erreur 403 | #99 - PHP2Shell exploitées et les modèles IA backdoorés
Failles PHP2Shell exploitées, LiteLLM de nouveau compromis, modèle Qwen tentant d’envoyer un fichier vers Pékin, faille Brotli, 11,7 millions de comptes Capcom exposés, etc.
