Backdoor SSH Ditemukan di Ekstensi Claude Code untuk VS Code
Judul asli: Backdoor in Claude Code for VS Code extension on the Cursor Marketplace
Mengapa Ini Penting
Ekstensi IDE berjalan dengan hak penuh pengguna, menjadikannya vektor serangan rantai pasokan yang sangat berbahaya bagi developer.
Phorion mendeteksi backdoor SSH persisten di ekstensi resmi Claude Code versi 2.1.313 di Cursor Marketplace, menyerang macOS, Linux, dan Windows. Cursor telah menarik ekstensi tersebut.
Phorion, perusahaan keamanan endpoint, mengungkap kompromi serius pada ekstensi resmi Claude Code untuk VS Code di Cursor Marketplace. Ekstensi versi 2.1.313 mengandung kode jahat berupa Immediately Invoked Function Expression (IIFE) yang disuntikkan ke file extension.js sebelum bundle utama yang sah.
Payload ini berjalan otomatis saat Node.js memuat file — tanpa perlu interaksi pengguna sama sekali. Tahap pertama: menyiapkan akses SSH dengan menambahkan kunci publik Ed25519 milik penyerang ke ~/.ssh/authorized_keys, menggunakan komentar 'svc-telemetry' sebagai penanda.
Uniknya, Phorion menemukan bug implementasi di sisi macOS. Script mengasumsikan bisa memeriksa status Remote Login tanpa hak root, namun perintah `systemsetup -getremotelogin` justru mencetak error administrator dan keluar dengan status 0 — bukan nilai 'Off' yang diharapkan. Akibatnya, langkah pengaktifan SSH dilewati, sehingga jalur akses masuk dari luar gagal pada Mac yang belum menjalankan SSH. Meski demikian, kunci SSH dan mekanisme persistence tetap terpasang.
Cursor telah mencabut versi 2.1.313 dari marketplace, NPM, dan registri VS Code. Organisasi yang menggunakan ekstensi ini diminta segera memeriksa lingkungan mereka dan memulai respons insiden jika ditemukan jejak penggunaan.