🗓️ Contexte

Source : OpenSourceMalware.com, publié le 30 octobre 2026. L’article rapporte la compromission de l’extension officielle Claude Code (identifiant anthropic.claude-code) sur le Cursor Marketplace, dans sa version 2.1.313, publiée le 29 octobre 2026. Cursor a confirmé l’incident. Les versions disponibles sur NPM, OpenVSX et le Microsoft VSCode Marketplace ne sont pas affectées.

🎯 Nature de la menace

Un loader malveillant de 66 lignes a été prépendu au fichier extension.js légitime de l’extension. Ce code s’exécute dès le chargement du module par VS Code, sans nécessiter d’interaction utilisateur. Il exploite les modules Node.js natifs (process, fs, os, http, crypto) et ne repose sur aucun script de cycle de vie npm.

⚙️ Comportement malveillant

Le loader exécute les actions suivantes dans l’ordre :

  • Reconnaissance immédiate : collecte du hostname, username, OS, architecture CPU, répertoire home, email Git global, et noms de variables d’environnement contenant KEY, TOKEN, SECRET, PASS, AWS, GCP
  • Installation d’une clé SSH autorisée : ajout d’une clé Ed25519 commentée svc-telemetry dans ~/.ssh/authorized_keys
  • Activation du service SSH : tentative d’activation de SSH selon la plateforme (macOS, Linux, Windows)
  • Tunnel SSH inversé : décodage d’une clé privée embarquée en base64, connexion à tunnel@134.209.82.225 avec redirection -R '*:0:localhost:22', reconnexion toutes les 60 secondes
  • Persistance multi-plateforme : LaunchAgent macOS (com.apple.sysmond.plist), crontab @reboot Linux, tâche planifiée Windows (SysMon) ou dossier Startup
  • Beacon de reconnaissance : envoi d’un JSON contenant l’IP publique vers http://134.209.82.225:8099/beacon après 1,5 seconde

📦 Fichiers déposés

  • ~/.config/.smt et ~/.config/.smtk (Unix)
  • ~/Library/LaunchAgents/com.apple.sysmond.plist (macOS)
  • ${TMPDIR}/.stk_<identifier> (clé privée temporaire)
  • ~/.config/smt.cmd et ~/.config/smtk (Windows)
  • sysmon.cmd (Windows, dossier Startup)

🔗 Infrastructure C2

L’unique adresse C2 identifiée est 134.209.82.225, utilisée sur les ports 22 (SSH) et 8099 (HTTP beacon). Aucun téléchargement de payload secondaire n’a été identifié : tout le code malveillant est embarqué dans l’extension.

📄 Type d’article

Analyse technique détaillée produite par un chercheur en sécurité (OpenSourceMalware.com), visant à documenter le comportement du malware, fournir les IOCs et décrire la chaîne d’attaque pour permettre la détection et la réponse à incident.

🧠 TTPs et IOCs détectés

TTP

  • T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)
  • T1554 — Compromise Host Software Binary (Persistence)
  • T1098.004 — Account Manipulation: SSH Authorized Keys (Persistence)
  • T1572 — Protocol Tunneling (Command and Control)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1053.003 — Scheduled Task/Job: Cron (Persistence)
  • T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
  • T1543.001 — Create or Modify System Process: Launch Agent (Persistence)
  • T1082 — System Information Discovery (Discovery)
  • T1033 — System Owner/User Discovery (Discovery)
  • T1552.007 — Unsecured Credentials: Container API (Credential Access)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1027 — Obfuscated Files or Information (Defense Evasion)

IOC

  • IPv4 : 134.209.82.225 — AbuseIPDB · VT · ThreatFox
  • Domaines : ifconfig.me — VT · URLhaus · ThreatFox
  • URLs : http://134.209.82.225:8099/beacon — URLhaus
  • URLs : https://api.ipify.org — URLhaus
  • SHA256 : ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15 — VT · MalwareBazaar
  • SHA256 : 7e0a52885fadee05544a9e99eb18c792bec05900a5e1a66d68f8383decb0e278 — VT · MalwareBazaar
  • SHA256 : 18756b75afedee74bbf49832a1b1dada4961672c41d595be5c1bbe75709de927 — VT · MalwareBazaar
  • Fichiers : extension.js
  • Fichiers : com.apple.sysmond.plist
  • Fichiers : sysmon.cmd
  • Fichiers : smt.cmd
  • Fichiers : smtk
  • Chemins : ~/.ssh/authorized_keys
  • Chemins : ~/.config/.smt
  • Chemins : ~/.config/.smtk
  • Chemins : ~/Library/LaunchAgents/com.apple.sysmond.plist
  • Chemins : ~/.config/smt.cmd
  • Chemins : ~/.config/smtk

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 30 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Trojanized Claude Code Extension v2.1.313 (backdoor)
  • autossh (tool)

🟢 Indice de vérification factuelle : 90/100 (haute)

  • ✅ opensourcemalware.com — source reconnue (liste interne) (20pts)
  • ✅ 11251 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 18 IOCs dont des hashes (15pts)
  • ✅ 4/7 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 13 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 134.209.82.225 (ip) → ThreatFox (Unknown malware)
  • ecb58cb29078d964… (sha256) → ThreatFox (Unknown malware)
  • 7e0a52885fadee05… (sha256) → ThreatFox (Unknown malware)
  • 18756b75afedee74… (sha256) → ThreatFox (Unknown malware)

🔗 Source originale : https://opensourcemalware.com/blog/trojanized-claude-code-extension-plants-persistent-ssh-backdoor