Бэкдор в расширении Claude Code: версия 2.1.313 в Open VSX

30 октября 2026 года OpenSourceMalware опубликовала анализ вредоносной сборки расширения anthropic.claude-code версии 2.1.313 из реестра Open VSX. В начало файла extension.js добавили загрузчик из 66 строк. Он выполняется при активации расширения, запускать диалог с Claude не нужно. Почти все ошибки в коде подавляются, поэтому редактор продолжает работать нормально.
 

Что делает загрузчик:
 

• Добавляет ключ Ed25519 с комментарием svc-telemetry в ~/.ssh/authorized_keys.
• Пытается включить SSH-службу: Remote Login на macOS, sshd на Linux, OpenSSH Server на Windows. Это зависит от прав и может не сработать.
• Подключается к tunnel@134.209.82.225 и запрашивает обратную переадресацию на localhost:22. Это работает, только если SSH-служба на машине доступна.
• Собирает имя хоста, пользователя, ОС, архитектуру, git-email и имена до 40 переменных окружения, похожих на секреты. Значения переменных в первом сообщении не передаются. Через 1,5 секунды по HTTP без шифрования на порт 8099 того же сервера уходит JSON с этими данными и публичным IP.
• Дополнительных исполняемых файлов загрузчик не скачивает.

Закрепление в системе

Проанализированный образец был собран под macOS на Apple Silicon: файлы ~/.config/.smt и ~/.config/.smtk и LaunchAgent com.apple.sysmond.plist. В коде есть ветки и для других систем: запись @reboot в cron на Linux, задача SysMon и скрипт в «Автозагрузке» на Windows. Это реализованные пути выполнения кода, а не доказательство заражения на каждой платформе.

 

Кто может быть затронут 
 

Те, кто ставил расширение из Open VSX (Cursor, Windsurf, VSCodium и другие редакторы, которые берут расширения оттуда) и получил версию 2.1.313. Для Visual Studio Code из Marketplace вредоносная версия не подтверждена.
 

Текущий статус. На 30 октября Open VSX, VS Code Marketplace и npm переходят с 2.1.312 сразу на 2.1.314, которую опубликовали во всех трёх в течение часа. Из этого нельзя сделать вывод, что 2.1.313 «удалили»: возможно, в Marketplace и npm её просто никогда не было. Заявления от Anthropic, Open VSX и Eclipse Foundation на момент проверки я не нашёл.

 

Что неизвестно

 

Пользователи пишут, что анализировали один артефакт из Open VSX. Он не доказывает компрометацию официального релиза или инфраструктуры Anthropic. Не установлено, как сборка попала в публикацию, сколько машин её запустило и существовала ли вредоносная сборка в Marketplace. По данным OpenSourceMalware, аккаунт, с которого опубликована сборка в Open VSX, принадлежит сотруднику Anthropic. Был ли он скомпрометирован, неизвестно.
 

Как проверить:
 

• grep svc-telemetry ~/.ssh/authorized_keys и просмотр других незнакомых ключей.
• macOS: наличие ~/.config/.smt, ~/.config/.smtk и ~/Library/LaunchAgents/com.apple.sysmond.plist.
• Linux: запись @reboot в cron. Windows: задача SysMon и скрипт в папке «Автозагрузка».
• Процессы ssh/autossh с обратной переадресацией.
• Сетевые журналы: соединения с 134.209.82.225 на портах 22 и 8099.
• SHA-256 вредоносного extension.js: ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15. Этим хешем сверяйте установленные копии.
  
   

Если нашли следы 

Изолируйте хост, сохраните доказательства, заблокируйте сервер на портах 22 и 8099, смените учётные данные с чистого устройства. Одного удаления расширения недостаточно. Исследователи советуют пересобрать систему, а не полагаться на удаление известных артефактов.


Материал основан на первых сообщениях от 30 октября. По мере расследования детали могут измениться.


Не хотите разбираться или вам нужна помощь сисадмина, чтобы устранить ошибку или уязвимость?

Воспользуйтесь помощью наших системных аднминистраторов. Ответим за 15 минут!