Una credenziale rubata ha permesso agli attaccanti di trasformare il sistema di distribuzione delle estensioni di Cursor in una via d'accesso ai computer degli sviluppatori, come ha confermato la stessa Cursor. Nel suo rapporto del 14 novembre, BleepingComputer descrive il resoconto, appena divulgato dall'azienda, di una violazione che ha esposto informazioni dei clienti e ha permesso ai pacchetti Claude Code malevoli di raggiungere fino a 5.000 utenti.
La preoccupazione immediata riguarda gli sviluppatori che hanno installato o aggiornato automaticamente le versioni 2.1.312 o 2.1.313 di anthropic.claude-code dal marketplace di Cursor il 29 ottobre 2026. I pacchetti tentavano di stabilire un accesso remoto duraturo. Aggiornare o disinstallare l'estensione non rimuove le chiavi non autorizzate e i file di avvio che potrebbero aver lasciato altrove nel dispositivo.
Cursor stima che fino a 5.000 utenti che hanno richiesto quelle versioni durante la finestra di esposizione possano aver ricevuto le build alterate. L'analisi di Microsoft del 30 ottobre indica una finestra di disponibilità di Cursor compresa circa tra le 2:27 e le 13:35 (ora legale del Pacifico) del 29 ottobre, cioè circa undici ore prima della rimozione.
Dai registri di addestramento alla distribuzione delle estensioni
Cursor, editor assistito dall'IA basato su Visual Studio Code open source di Microsoft, ha ricondotto l'intrusione a una chiave di accesso detenuta da Fireworks AI, il suo fornitore terzo per l'addestramento e l'inferenza dei modelli. BleepingComputer riferisce che Cursor ha pubblicato il resoconto completo dell'incidente venerdì.
La chiave dava agli attaccanti accesso in lettura a un bucket di archiviazione usato per condividere informazioni con Fireworks. Hanno copiato tracce storiche degli agenti di codifica, cioè registrazioni dell'attività degli agenti, risalenti per lo più al 2025. Appartenevano a utenti i cui dati erano idonei all'addestramento dei modelli perché non avevano attivato la Privacy Mode.
Alcune tracce contenevano credenziali API non oscurate, che hanno permesso agli attaccanti di spostarsi in altri sistemi di Cursor. Cursor stima che l'esposizione riguardi meno dello 0,05% degli utenti per le tracce degli agenti e meno dello 0,01% dei clienti per le credenziali API compromesse.
I dati sottratti dagli strumenti aziendali ospitati da Cursor comprendevano repository di codice sorgente archiviati e non di produzione, alcuni con informazioni di contatto aziendali; registrazioni limitate del supporto ed email; metriche di utilizzo e dati di contatto dei clienti; riepiloghi di alcune conversazioni con gli agenti; e le credenziali che i clienti avevano in precedenza fornito al team di supporto.
Cursor afferma che il monitoraggio ha rilevato l'attività non autorizzata. Ha revocato la chiave di Fireworks, ruotato le credenziali esposte e indagato su ulteriori accessi, disattivando temporaneamente alcuni servizi interni e di prodotto. Ma gli attaccanti disponevano già di un'altra credenziale che permetteva loro di scrivere pacchetti di estensioni non autorizzati direttamente nella cache che serve il marketplace di Cursor.
L'azienda afferma che non sono stati coinvolti l'infrastruttura di produzione, le release ufficiali dell'applicazione, i repository di codice dei clienti e il codice e i prompt degli utenti Privacy Mode. La risposta ha incluso lo spostamento di tutto il traffico di inferenza lontano da Fireworks, la ricostruzione del marketplace delle estensioni e, in via precauzionale, il ridispiegamento dell'infrastruttura di produzione.
La via di distribuzione conta nella valutazione dell'esposizione. Open VSX, il marketplace usato da Cursor, e l'estensione legittima di Anthropic non sono stati compromessi. Microsoft ha confermato che né Visual Studio Marketplace né @anthropic-ai/claude-code su npm hanno distribuito i pacchetti malevoli. Anthropic ha detto a Microsoft che i suoi sistemi non erano compromessi e che non aveva prodotto il pacchetto alterato; le prove raccolte da Microsoft indicavano un incidente circoscritto al marketplace di Cursor.
Cosa è accaduto al caricamento dell'estensione
Microsoft Threat Intelligence ha rilevato che il JavaScript iniettato veniva eseguito prima del codice normale dell'estensione. Attraverso le interfacce di Node.js e gli strumenti integrati del sistema operativo, poteva raccogliere informazioni, modificare file ed eseguire comandi senza scaricare un altro eseguibile. L'estensione continuava a funzionare, mentre il codice iniettato nascondeva l'output dei comandi e gestiva silenziosamente gli errori.
La sua prima operazione era la ricognizione: nome host, nome utente, sistema operativo, architettura del processore, directory home e di lavoro, e indirizzo email globale di Git. Selezionava inoltre fino a quaranta nomi di variabili d'ambiente corrispondenti a termini come KEY, TOKEN, SECRET, PASS, AWS o GCP. Un callback ritardato tentava di inviare i dettagli dell'host e i nomi di quelle variabili, non i valori segreti memorizzati.
La configurazione dell'accesso remoto usava due chiavi diverse. Il loader cercava nel file di autorizzazione SSH dell'utente la voce svc-telemetry; se non la trovava, aggiungeva una chiave pubblica Ed25519 incorporata. SSH, o Secure Shell, è un protocollo per l'accesso remoto autenticato. Quella voce poteva quindi consentire l'accesso a chiunque possedesse la chiave privata corrispondente, nei limiti della configurazione locale.
Una chiave privata incorporata separata autenticava una connessione in uscita con l'account remoto tunnel. Il suo nome file temporaneo iniziava con .stk_, seguito da dieci caratteri esadecimali derivati dal nome host e dalla directory home, e SSH la caricava usando -i. La connessione richiedeva il reverse forwarding, creando un percorso di ritorno attraverso il tunnel in uscita fino al servizio SSH della workstation. Meccanismi di avvio tentavano poi di mantenere attiva quella connessione, prima del rapporto di ricognizione ritardato.
Si trattava di capacità tentate, il cui successo dipendeva dai privilegi del dispositivo, dalle impostazioni SSH e dalla configurazione del server dell'attaccante. BleepingComputer riporta i risultati dei ricercatori secondo cui errori di programmazione avrebbero probabilmente impedito il funzionamento delle backdoor su molti dispositivi Windows e macOS senza SSH già attivo. Microsoft ha comunque riscontrato che le chiavi di autorizzazione e gli artefatti di avvio potevano essere scritti anche quando il tunnel falliva.
BleepingComputer colloca la violazione all'interno degli attacchi agli ambienti di sviluppo basati sull'IA che Wiz chiama «Black October». Tali attacchi hanno colpito Railway, Northflank, Lightning AI, OpenCode e Warp, hanno coinvolto l'abuso di credenziali per inferenze non autorizzate e talvolta tentativi di distillazione dei modelli, hanno incluso circa 740.000 dollari di addebiti fraudolenti su Railway AI e utilizzi non autorizzati di OpenCode, e hanno compreso le violazioni di Fireworks di ottobre, che hanno esposto chiavi e token o macchine di sviluppo attraverso un provider cloud compromesso. Anche trascrizioni di conversazioni con l'IA di un numero ridotto di workspace Notion sono risultate esposte.
Conservare le prove, poi rimuovere l'accesso persistente
Microsoft consiglia alle organizzazioni di identificare le installazioni interessate e di confrontare i registri di installazione con i log di dispositivo, rete, file, processi e autenticazione. Isolare i dispositivi che mostrano l'esecuzione del loader o l'installazione di una backdoor. Prima della pulizia, conservare il pacchetto dell'estensione, i file di autorizzazione modificati, le chiavi generate, gli script e la configurazione di avvio.
Tra gli indicatori utili per l'indagine figurano la destinazione SSH e HTTP configurata 134.209.82[.]225 e l'endpoint di segnalazione hxxp://134[.]209[.]82[.]225:8099/beacon. Microsoft identifica questi hash SHA-256:
- Punto di ingresso JavaScript:
ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15. Identifica lo script, non il pacchetto dell'estensione. - File della chiave privata del tunnel decodificata:
7e0a52885fadee05544a9e99eb18c792bec05900a5e1a66d68f8383decb0e278.
Per le chiavi di accesso non autorizzate, controllare ~/.ssh/authorized_keys su macOS e Linux e, su Windows, %USERPROFILE%\.ssh\authorized_keys insieme a C:\ProgramData\ssh\administrators_authorized_keys, se presenti. Confrontare la voce sospetta svc-telemetry con l'impronta SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk prima di eliminare quella specifica chiave. Conservare le chiavi legittime e le impostazioni di sviluppo remoto. La sola assenza del marcatore non basta a considerare pulito un dispositivo.
Dopo la raccolta delle prove, rimuovere l'estensione malevola e la persistenza confermata:
- macOS: scaricare ed eliminare
~/Library/LaunchAgents/com.apple.sysmond.plist, una configurazione di avvio per utente, insieme a~/.config/.smte~/.config/.smtk. - Linux: eliminare la voce
@rebootmalevola nella crontab utente che punta a~/.config/.smt, conservando le altre voci, e rimuovere quello script e~/.config/.smtk. - Windows: rimuovere l'attività pianificata
SysMonmalevola, il fallbacksysmon.cmdnella cartella Avvio,%USERPROFILE%\.config\smt.cmde%USERPROFILE%\.config\smtk.
Verificare le azioni di avvio prima della rimozione: un nome file familiare, da solo, non basta. Interrompere i processi SSH e di ritentativo confermati come malevoli e, dopo la raccolta, rimuovere le identità temporanee che corrispondono a .stk_[0-9a-f]{10}.
Microsoft mette a disposizione rilevamenti di Defender e query di threat hunting che coprono connessioni, artefatti di file, attività pianificate di Windows e modifiche all'avvio di macOS. Le corrispondenze delle query sono piste investigative che richiedono una correlazione, e gli hash dei file non sono presenti in ogni evento.
Cursor offre anche verifiche specifiche per piattaforma e script di bonifica, che Microsoft consiglia di esaminare insieme ai rispettivi requisiti di esecuzione prima dell'uso. Gli investigatori dovrebbero esaminare l'attività successiva al caricamento dell'estensione, cercando chiavi SSH accettate, tunnel, sessioni locali, comandi e accessi ai file. Quando vi sono indicazioni di esposizione delle credenziali o non è possibile ripristinare la fiducia nel dispositivo, ruotare le credenziali e revocare le sessioni da un dispositivo noto come pulito. Ricostruire il sistema quando l'indagine lo richiede.
Né la rimozione dell'estensione né la chiusura del server segnalata da Cursor eliminano gli artefatti già presenti sui dispositivi. Verificare che non ricompaiano dopo il login o il riavvio, e applicare i controlli di Cursor raccomandati da Microsoft: limitare le estensioni a editori approvati e usare un periodo di attesa prima dell'installazione per ritardare le release appena pubblicate.
