Cursor Marketplace पर VS Code के लिए Claude Code एक्सटेंशन में बैकडोर

मूल लेख ↗ Hacker News चर्चा ↗

लोकप्रिय Claude Code एक्सटेंशन के VS Code के लिए एक दुर्भावनापूर्ण रूप से संशोधित संस्करण को थोड़े समय के लिए Cursor के extension marketplace के माध्यम से वितरित किया गया, जिसने एक attacker-controlled SSH key जोड़ा और प्रभावित developer machines पर remote access backdoor बना दिया। टिप्पणीकार इस पर बहस कर रहे हैं कि यह Anthropic स्वयं का compromise है या Cursor के marketplace infrastructure का, और VS Code/OpenVSX extension ecosystem की व्यापक कमजोरियों—जैसे signing की कमी, marketplace impersonation, और अत्यधिक विशेषाधिकार वाले editor plugins—को उजागर कर रहे हैं। इस घटना को एक उच्च-दांव supply-chain चेतावनी माना जा रहा है, खासकर एक बड़े crypto theft से संभावित संबंध के कारण, और इसने development tools के लिए बेहतर isolation, delayed auto-updates, तथा extensions के लिए अधिक कठोर provenance checks की माँग को बढ़ाया है.

घटना का अवलोकन

  • “Claude Code for VS Code” एक्सटेंशन का एक दुर्भावनापूर्ण बिल्ड, संस्करण 2.1.313, SSH-आधारित बैकडोर (reverse shell) के साथ जारी किया गया।
  • पेलोड का व्यवहार (लिंक की गई विश्लेषणों के अनुसार): ~/.ssh के मौजूद होने को सुनिश्चित करता है, हमलावर की कुंजी svc-telemetry लेबल के साथ authorized_keys में जोड़ता है, सख्त permissions सेट करता है, और एक reverse tunnel स्थापित करता है।
  • प्रभावित दायरा स्पष्ट नहीं है: Cursor ने बाद में अपनी ओर लगभग 5,000 प्रभावित उपयोगकर्ताओं की रिपोर्ट की; पूरे ecosystems में इस एक्सटेंशन ब्रांड के लाखों installs हैं।

दुर्भावनापूर्ण संस्करण कहाँ मौजूद था

  • थ्रेड के प्रतिभागी तीन ecosystems में अंतर करते हैं:
    • Microsoft VS Code Marketplace.
    • Open VSX (VS Code forks / गैर-Microsoft builds द्वारा उपयोग किया जाता है).
    • Cursor का अपना marketplace / Open VSX के सामने proxy.
  • Anthropic प्रतिनिधियों सहित कई टिप्पणियों में कहा गया है कि:
    • दुर्भावनापूर्ण 2.1.313 केवल Cursor के marketplace पर था।
    • इसे आधिकारिक VS Code marketplace या Open VSX के माध्यम से जारी नहीं किया गया था।
    • 2.1.313 कभी आधिकारिक Anthropic release नहीं था; 2.1.314 का उपयोग उस संस्करण को वैश्विक रूप से “skip over” करने और भ्रम से बचने के लिए किया गया।
  • पहले की टिप्पणियों में Open VSX compromise का संदेह था; बाद की स्पष्टताओं के अनुसार यह विशिष्ट घटना Cursor के proxy/marketplace तक सीमित थी।

जिम्मेदारी और मूल कारण (अस्पष्ट / विवादित)

  • एक पक्ष: यह Cursor marketplace का compromise (या impersonation) है, Anthropic system या laptop breach नहीं।
  • अन्य लोग तर्क देते हैं कि Anthropic पर भी कुछ जिम्मेदारी आती है क्योंकि:
    • Cursor की listing में Anthropic branding (“made by” semantics) का उपयोग था।
    • उपयोगकर्ताओं ने स्वाभाविक रूप से माना कि Anthropic उस एक्सटेंशन चैनल को नियंत्रित करता है।
  • हमलावर की Cursor marketplace तक पहुँचने की सटीक विधि अभी ज्ञात नहीं है।

प्रभाव, पहचान, और mitigations

  • Cursor की advisory: उपयोगकर्ता authorized_keys में जोड़ी गई svc-telemetry SSH key की जाँच करके देख सकते हैं कि वे प्रभावित हुए या नहीं।
  • कुछ लोगों का कहना है कि उस key का न होना संकेत देता है कि पेलोड पूरी तरह execute नहीं हुआ।
  • चिंता जताई गई कि भले ही लक्ष्य crypto theft रहा हो, reverse shell ने source code, secrets, और infrastructure को भी उजागर कर दिया।

अन्य घटनाओं से जोड़ (अप्रमाणित)

  • कई टिप्पणियाँ समकालीन बड़े crypto-theft incident से संबंध की अटकलें लगाती हैं, समय-सारणी और इस तथ्य का हवाला देते हुए कि पीड़ित सार्वजनिक रूप से Cursor + Claude Code का उपयोग करता है।
  • अन्य लोग चेतावनी देते हैं कि यह परिस्थितिजन्य है और पुष्टि नहीं हुई है।

इकोसिस्टम और सप्लाई-चेन चिंताएँ

  • VS Code / VSCodium / Open VSX ecosystems की आलोचना इस रूप में की गई है कि वे:
    • extensions के लिए मजबूत signing, verification, और permission models की कमी रखते हैं।
    • typosquatting और marketplace impersonation के प्रति संवेदनशील हैं।
  • Cursor के automated malware/supply-chain scanning के दावे पर सवाल उठाए गए, क्योंकि दुर्भावनापूर्ण build लगभग 11 घंटे तक live रहा।
  • चर्चा आगे बढ़कर इस पर गई:
    • package registries (npm, आदि) को भी ऐसे ही कमजोर links के रूप में देखना।
    • extension signing, trusted-publishing workflows, और delayed auto-updates की आवश्यकता (VS Code और Cursor दोनों में delay features हैं, लेकिन defaults शायद बहुत आक्रामक हैं)।

AI टूल्स, भरोसा, और isolation

  • कई commenters निम्न के जोखिम का पुनर्मूल्यांकन कर रहे हैं:
    • agentic IDE tools जिनमें RCE-जैसी क्षमताएँ होती हैं।
    • CLI utilities और harnesses जो developer machines पर arbitrary code चलाते हैं।
  • सुझाए गए mitigations:
    • AI tools को containers, VMs, या अलग user accounts में चलाएँ, जिनमें mounted directories न्यूनतम हों और SSH/Cloud credentials सीमित scope में हों।
    • auto-updates disable या delay करें; संभव हो तो नए versions को manually vet करें।

संचार और भरोसा

  • कई प्रतिभागियों को public communication भ्रमित करने वाला और धीमा लगता है, खासकर इन विषयों पर:
    • कौन-कौन से marketplaces प्रभावित हुए।
    • क्या Anthropic की अपनी systems compromise हुईं।
  • Anthropic और Cursor दोनों से, बिखरी हुई social posts और marketplace edits से आगे, स्पष्ट, केंद्रीकृत incident reports और postmortems की माँग की गई है।