サプライチェーン攻撃: 悪意のあるClaude Code拡張機能が開発者システムを侵害

インシデントの概要

最近、VS Code向けのClaude Code拡張機能が侵害されるサプライチェーン攻撃が発生し、約5,000台の開発者システムにリモートアクセス型トロイの木馬（RAT）が配布されました。悪意のあるバージョン「2.1.313」は、Anthropicの認証済みアカウントを装い、Cursorマーケットプレイスを通じて配布されました。侵害された拡張機能はその後削除され、バージョン「2.1.314」に置き換えられました。この修正版は差し迫った脅威を解消するものですが、既に感染したマシンからバックドアを自動的に削除するものではありません。

技術的影響とバックドアのメカニズム

この悪意のある拡張機能は、開発環境への永続的なリモートアクセスを確立するように設計されていました。インシデントレポートによると、このマルウェアは以下の動作を行いました。

• データ流出: ユーザー名、ホスト名、OSアーキテクチャ、ホームディレクトリのパス、環境変数、Git設定、パブリックIPアドレスなど、機密性の高いホスト情報を収集しました。
• 永続化: 攻撃者が制御するSSHキーを authorized_keys ファイルに追加し、ローカルのSSHサービスを有効にしようとしました。さらに、macOSのLaunchAgentsやWindowsのタスクスケジューラおよびスタートアップスクリプトを使用して永続化を図りました。
• コマンド＆コントロール (C2): マルウェアは、攻撃者が制御するIPアドレス (134.209.82.225) へのリバースSSHトンネルの確立を試み、ポート8099の /beacon エンドポイントに対してHTTP POSTリクエストを送信し、ステータス更新を報告しました。

この悪意のあるコードは高レベルのシステムアクセス権限の取得を試みましたが、研究者によると、Cursorアプリケーションが管理者権限で実行されていない限り、SSHバックドアのインストールは通常失敗するとのことです。

影響範囲と修復

この攻撃は、特にCursor IDEとその拡張機能マーケットプレイスのユーザーを標的としていました。公式のMicrosoft Visual Studio Marketplaceや標準のVS Code拡張機能のユーザーは、一般的に今回のインシデントの対象外と考えられますが、開発者はセキュリティ研究者が提供する侵害指標（IoC）に基づいてシステムを監査することが推奨されます。

セキュリティアナリストは、影響を受けたシステムを特定するために、Microsoft Defender for Endpoint向けのKQLクエリを提供しています。悪意のあるバージョンは削除・置換されているため、既に侵害されたシステムでは、単に拡張機能を更新するだけでは不十分です。影響を受けたユーザーは、不正なSSHキーを手動で削除し、確立されたリバーストンネルや悪意のあるタスクスケジューラを終了させる必要があります。

コミュニティの反応

開発者コミュニティ内での議論では、サードパーティ製拡張機能マーケットプレイスのセキュリティや、IDE拡張機能に広範なシステム権限を与えるリスクに対する懸念が強調されています。一部の観測筋は、インシデントの深刻さと初期のコミュニケーションとの間に乖離があることを指摘しました。Cursor側は、悪意のあるバージョンはAnthropicによって開発されたものではなく、ベンダーのIDを騙ってマーケットプレイスに注入されたものであると説明しています。

"AnthropicのClaude Code拡張機能が悪意を持って改ざんされたバージョンが、CursorのVS Code拡張機能マーケットプレイスで利用可能な状態になっていました。この拡張機能は、永続的なSSHバックドアをインストールしようとする悪意のあるコードを実行します。" — Cursor Security Notice

セキュリティ研究者は、悪意のあるVSIXパッケージの削除によって差し迫った脅威は軽減されたものの、今回のインシデントは自動化されたサプライチェーンに内在するリスクと、予期せぬネットワークビーコンがないかエンドポイントのアクティビティを監視する必要性を再認識させるものだと強調しています。