AnthropicのCursor拡張機能にバックドア、約12時間配布

概要

Anthropicの公式アカウントからCursor経由で配布されていたVS Code拡張機能が、サプライチェーン攻撃によって改ざんされていたことが判明した。悪意あるバージョンは2.1.313で、約12時間にわたり公開され、最大で5,000人の開発者に影響した可能性がある。Cursorでは拡張機能の自動更新が初期設定で有効なため、利用者が明示的に選択しなくても導入された可能性がある。

何が起きたのか

研究者によると、2.1.313はAnthropicの公式配布アカウントから公開され、従来の2.1.312に取って代わった。その後、Anthropicは2.1.314を公開した。しかし、攻撃者が公式アカウントをどのように掌握したのかについて、AnthropicとCursorはいずれも説明していない。

悪意あるコードは、ホスト名、ユーザー名、OS、アーキテクチャ、ホームディレクトリ、環境変数名、作業ディレクトリ、設定済みのGitメールアドレス、パブリックIPなどを収集しようとした。さらに、攻撃者が管理するSSH公開鍵をauthorized_keysに追加し、ローカルSSHサービスを有効化して、リバースSSHトンネルを開く処理も含まれていた。

永続化のため、macOSではLaunchAgent、Windowsではスケジュールタスクを利用しようとし、Windowsではスタートアップスクリプトも代替手段として試みた。バックグラウンド処理は、およそ60秒ごとにトンネル接続を再試行したという。Cursorの拡張機能はIDEの権限で動作するため、導入後はローカルファイル、ソースコード、開発ツールに触れられる可能性があった。

実害とリスク

悪意あるコードには実装上の不具合があり、WindowsやmacOSの一部環境ではバックドアが正常に動作しなかった。特に、Cursorを通常とは異なる管理者権限で起動していない限り、SSHによる永続化処理は失敗する可能性が高かったとされる。ただし、これは安全を意味しない。マルウェアは依然として永続化を試み、端末情報を攻撃者へ送信していた。

Phorianは、環境変数名の収集によって、クラウド認証情報やAPIトークンが保存されていそうな端末を攻撃者が把握しやすくなると指摘した。実際に秘密情報が盗まれたことまで素材から確認できるわけではないが、開発用端末を機密性の高い環境として扱う必要性を示している。

対応と利用者への注意

Cursorは、リバースシェルの接続先を提供していたクラウド事業者と協力し、感染端末からサーバーへ接続できないようにした。また、悪意あるバージョンを削除し、鍵のローテーション、アクセス制御の監査、他の拡張機能への影響確認のため、VS Code Marketplaceを一時閉鎖した後に再開している。

木曜日の米東部時間5時27分から16時35分の間に当該拡張機能をインストールまたは更新した利用者は、影響を受けたものとして調査すべきだ。最近インストールした利用者も、拡張機能のバージョン、SSHのauthorized_keys、LaunchAgent、スケジュールタスク、不審な通信を確認し、必要に応じてクラウド認証情報やAPIトークンをローテーションするべきである。

この事件は、AIコーディングツールの安全性がモデルの出力だけで決まらないことを示す。検証済みの配布元であっても、バージョン固定、自動更新の監視、最小権限、マーケットプレイスアカウントの保護が欠かせない。Anthropicによる顧客への公開通知がないことと、アカウント侵害の経路が説明されていないことは、なお大きな未解決点である。

出典：Ars Technica AI