Cursor a identifié deux versions malveillantes de l’extension Claude Code, 2.1.312 et 2.1.313, pour macOS et Windows, proposées dans son marketplace entre environ 2 h 27 et 13 h 35, heure du Pacifique, le 29 octobre 2026. La charge utile tentait d’ajouter une clé SSH contrôlée par l’attaquant, d’activer le service d’accès à distance et d’établir un tunnel inversé, tandis que des mécanismes de persistance pouvaient subsister après la désinstallation. L’accès distant effectif dépendait de la configuration SSH et des autorisations de la machine, un bogue de contrôle despermissions empêchant notamment l’activation automatique de l’accès à distance sur macOS lorsqu’un utilisateur standard exécutait le code malveillant. Cursor recommande d’isoler les machines compromises, de supprimer les clés SSH, les mécanismes de persistance et les tunnels non autorisés, puis de renommer les identifiants et les sessions accessibles depuis un système de confiance. Aucune tentative de vol de cryptomonnaies ni aucun ciblage spécifique au secteur des cryptomonnaies n’a été établi.
Source: Lire l’article original
