Un identifiant volé a permis à des attaquants de transformer le système de distribution des extensions de Cursor en voie d'accès aux ordinateurs des développeurs, comme l'a confirmé Cursor. Dans son rapport du 14 novembre, BleepingComputer décrit le récit inédit de l'entreprise, qui fait état d'une brèche ayant exposé des informations de clients et permis à des paquets Claude Code malveillants d'atteindre jusqu'à 5 000 utilisateurs.
La préoccupation immédiate concerne les développeurs qui ont installé ou mis à jour automatiquement les versions 2.1.312 ou 2.1.313 de anthropic.claude-code depuis la place de marché de Cursor, le 29 octobre 2026. Ces paquets tentaient d'établir un accès distant durable. La mise à jour ou la désinstallation de l'extension ne supprime pas les clés non autorisées ni les fichiers de démarrage qu'ils ont pu laisser ailleurs sur un appareil.
Cursor estime que jusqu'à 5 000 utilisateurs ayant demandé ces versions pendant la période d'exposition ont pu recevoir les versions modifiées. L'analyse de Microsoft, publiée le 30 octobre, cite une fenêtre de disponibilité de Cursor d'environ 2 h 27 à 13 h 35, heure d'été du Pacifique, le 29 octobre, soit environ 11 heures avant le retrait.
De l'entraînement des modèles à la distribution des extensions
Cursor, un éditeur assisté par l'IA fondé sur Visual Studio Code, le logiciel libre de Microsoft, a retracé l'intrusion jusqu'à une clé d'accès détenue chez Fireworks AI, son fournisseur tiers pour l'entraînement et l'inférence des modèles. BleepingComputer rapporte que Cursor a publié son récit complet de l'incident vendredi.
Cette clé donnait aux attaquants un accès en lecture à un bucket de stockage utilisé pour partager des informations avec Fireworks. Ils ont copié des traces historiques d'agents de programmation, c'est-à-dire des enregistrements de l'activité des agents, datant pour la plupart de 2025. Ces traces appartenaient à des utilisateurs dont les données pouvaient servir à l'entraînement des modèles, car ils n'avaient pas activé le mode de confidentialité.
Certaines traces contenaient des identifiants d'API non masqués, qui ont permis aux attaquants de pénétrer dans d'autres systèmes de Cursor. L'entreprise évalue l'exposition à moins de 0,05 % des utilisateurs pour les traces d'agents, et à moins de 0,01 % des clients pour les identifiants d'API compromis.
Les données extraites des outils professionnels hébergés par Cursor comprenaient des dépôts de code source archivés, hors production, dont certains contenaient des coordonnées professionnelles ; des dossiers de support et des échanges de courriels, en nombre limité ; des indicateurs d'usage et les coordonnées de clients ; des résumés de certaines conversations avec les agents ; ainsi que des identifiants que des clients avaient précédemment transmis à l'équipe de support.
Cursor indique que la surveillance a détecté l'activité non autorisée. L'entreprise a révoqué la clé Fireworks, renouvelé les identifiants exposés et enquêté sur d'autres accès, en désactivant temporairement certains services internes et services produits. Mais les attaquants détenaient déjà un autre identifiant qui leur permettait d'écrire directement des paquets d'extension non autorisés dans le cache qui alimente la place de marché de Cursor.
L'entreprise affirme que l'infrastructure de production, les versions officielles des applications, les dépôts de code des clients ainsi que le code et les requêtes des utilisateurs du mode de confidentialité n'ont pas été touchés. Sa réponse a consisté à retirer tout le trafic d'inférence de Fireworks, à reconstruire la place de marché des extensions et à redéployer par précaution l'infrastructure de production.
La voie de distribution est essentielle pour évaluer l'exposition. Open VSX, la place de marché qu'utilise Cursor, et l'extension légitime d'Anthropic n'ont pas été compromises. Microsoft a confirmé que ni Visual Studio Marketplace ni le paquet npm @anthropic-ai/claude-code n'ont distribué les paquets malveillants. Anthropic a indiqué à Microsoft que ses systèmes n'étaient pas compromis et qu'elle n'avait pas produit le paquet modifié ; les éléments recueillis par Microsoft pointent vers un incident limité à la place de marché de Cursor.
Ce qui s'est passé au chargement de l'extension
Microsoft Threat Intelligence a constaté que le JavaScript injecté s'exécutait avant le code normal de l'extension. Via les interfaces Node.js et les outils intégrés au système d'exploitation, il pouvait collecter des informations, modifier des fichiers et exécuter des commandes sans télécharger un autre exécutable. L'extension continuait de fonctionner pendant que le code injecté masquait la sortie des commandes et gérait silencieusement les erreurs.
Sa première tâche était la reconnaissance : nom d'hôte, nom d'utilisateur, système d'exploitation, architecture du processeur, répertoires personnel et de travail, et adresse e-mail globale de Git. Il sélectionnait aussi jusqu'à 40 noms de variables d'environnement contenant des termes comme KEY, TOKEN, SECRET, PASS, AWS ou GCP. Un rappel différé tentait de transmettre les informations sur l'hôte et ces noms de variables, et non les valeurs secrètes stockées.
La mise en place de l'accès distant reposait sur deux clés différentes. Le chargeur recherchait dans le fichier d'autorisation SSH de l'utilisateur l'entrée svc-telemetry ; si elle était absente, il ajoutait une clé publique Ed25519 intégrée. SSH, pour Secure Shell, est un protocole d'accès distant authentifié. Cette entrée pouvait donc admettre quiconque possédait la clé privée correspondante, sous réserve de la configuration locale.
Une clé privée intégrée distincte authentifiait une connexion sortante sous le compte distant tunnel. Son nom de fichier temporaire commençait par .stk_, suivi de dix caractères hexadécimaux dérivés du nom d'hôte et du répertoire personnel, et SSH la chargeait avec -i. La connexion demandait un transfert de port inverse, créant une voie de retour, à travers le tunnel sortant, vers le service SSH du poste de travail. Des mécanismes de démarrage tentaient ensuite de maintenir cette connexion active, avant le rapport de reconnaissance différé.
Il s'agissait de capacités tentées, dont la réussite dépendait des privilèges de l'appareil, des paramètres SSH et de la configuration du serveur de l'attaquant. BleepingComputer rapporte les conclusions de chercheurs selon lesquelles des erreurs de codage ont probablement empêché le fonctionnement de portes dérobées sur de nombreux appareils Windows et macOS sans SSH déjà activé. Microsoft a néanmoins constaté que des clés d'autorisation et des éléments de démarrage pouvaient être écrits même lorsque le tunnel échouait.
BleepingComputer replace la brèche dans la vague d'attaques visant le développement d'IA que Wiz appelle « Black October ». Cette vague a touché Railway, Northflank, Lightning AI, OpenCode et Warp, et comprenait l'usage abusif d'identifiants pour une inférence non autorisée, parfois des tentatives de distillation de modèles, environ 740 000 dollars de frais frauduleux sur Railway pour des services d'IA et une utilisation non autorisée d'OpenCode. Elle englobait aussi les brèches d'octobre chez Fireworks, qui ont exposé des clés et des jetons, ainsi que des postes de développement compromis via un fournisseur cloud, et des transcriptions d'IA issues d'un petit nombre d'espaces de travail Notion ont également été exposées.
Conserver les preuves, puis supprimer l'accès persistant
Microsoft conseille aux organisations d'identifier les installations concernées et de comparer les registres d'installation aux journaux des appareils, du réseau, des fichiers, des processus et de l'authentification. Isolez les appareils qui montrent l'exécution du chargeur ou l'installation d'une porte dérobée. Avant tout nettoyage, conservez le paquet de l'extension, les fichiers d'autorisation modifiés, les clés générées, les scripts et la configuration de démarrage.
Parmi les indicateurs utiles à l'investigation figurent la destination SSH et HTTP configurée 134.209.82[.]225 et le point de terminaison de signalement hxxp://134[.]209[.]82[.]225:8099/beacon. Microsoft identifie les empreintes SHA-256 suivantes :
- Point d'entrée JavaScript :
ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15. Cette empreinte identifie le script, et non le paquet de l'extension. - Fichier de clé privée du tunnel déchiffré :
7e0a52885fadee05544a9e99eb18c792bec05900a5e1a66d68f8383decb0e278.
Pour repérer les clés d'accès non autorisées, inspectez ~/.ssh/authorized_keys sur macOS et Linux, ainsi que %USERPROFILE%\.ssh\authorized_keys et C:\ProgramData\ssh\administrators_authorized_keys, s'ils existent, sur Windows. Faites correspondre l'entrée svc-telemetry suspecte à l'empreinte SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk avant de supprimer cette clé précise. Conservez les clés légitimes et les paramètres de développement à distance : l'absence du marqueur ne suffit pas à innocenter un appareil.
Une fois les preuves collectées, supprimez l'extension malveillante et la persistance confirmée :
- macOS : déchargez et supprimez
~/Library/LaunchAgents/com.apple.sysmond.plist, une configuration de démarrage propre à l'utilisateur, ainsi que~/.config/.smtet~/.config/.smtk. - Linux : supprimez l'entrée
@rebootmalveillante de la crontab de l'utilisateur, qui pointe vers~/.config/.smt, en conservant les autres entrées, puis supprimez ce script et~/.config/.smtk. - Windows : supprimez la tâche planifiée malveillante
SysMon, le mécanisme de secourssysmon.cmddans le dossier Démarrage, ainsi que%USERPROFILE%\.config\smt.cmdet%USERPROFILE%\.config\smtk.
Examinez les actions de démarrage avant de les supprimer : un nom de fichier familier ne suffit pas. Arrêtez les processus SSH malveillants confirmés et les processus de relance, puis, après collecte, supprimez les identités temporaires correspondant à .stk_[0-9a-f]{10}.
Microsoft fournit des détections Defender et des requêtes de recherche couvrant les connexions, les artefacts de fichiers, les tâches planifiées Windows et les modifications de démarrage sous macOS. Les correspondances obtenues par requête sont des pistes d'investigation qui demandent un recoupement ; les empreintes de fichiers ne sont pas renseignées dans chaque événement.
Cursor propose également des vérifications et des scripts de remédiation propres à chaque plateforme. Microsoft recommande de les examiner, ainsi que leurs conditions d'exécution, avant de les utiliser. Les enquêteurs doivent analyser l'activité postérieure au chargement de l'extension : clés SSH acceptées, tunnels, sessions locales, commandes et accès aux fichiers. Lorsqu'une exposition d'identifiants est avérée ou que la confiance envers l'appareil ne peut pas être rétablie, renouvelez les identifiants et révoquez les sessions depuis un appareil dont on sait qu'il est sain ; reconstruisez l'appareil si l'enquête l'exige.
Ni la suppression de l'extension ni le retrait signalé du serveur par Cursor n'effacent les artefacts déjà présents sur les appareils. Vérifiez qu'ils ne réapparaissent pas après une connexion ou un redémarrage, et appliquez les contrôles recommandés par Microsoft pour Cursor : limitez les extensions aux éditeurs approuvés et utilisez un délai d'installation qui retarde l'adoption des versions récemment publiées.
