Cursor ontdekt gevaarlijke nep-extensie
In de online extensiewinkel van de populaire programmeeromgeving Cursor is een ernstig beveiligingsincident vastgesteld. Tussen 02:27 uur en 13:35 uur PT (Pacific Time) werd er een schadelijke namaakversie verspreid van de populaire AI-assistent Anthropic Claude Code (versies 2.1.312 en 2.1.313). De legitieme maker van de software, Anthropic, heeft niets met deze valse versies te maken. Andere extensies in de winkel en gelieerde diensten zijn niet getroffen.
Wat is er gebeurd?
Kwaadwillenden wisten een nepversie van de extensie in de softwarewinkel te plaatsen. Zodra een gebruiker deze installeerde op een Windows- of Mac-computer, ging er op de achtergrond een schadelijk programma aan het werk.
De nep-extensie probeerde als eerste informatie over de computer en de gebruiker te verzamelen en door te sturen naar de aanvallers. Denk hierbij aan de computernaam, netwerkgegevens en specifieke systeeminstellingen. Vervolgens probeerde de software een digitale achterdeur te bouwen. Hiermee wilde de aanvaller vanaf een afstand ongemerkt toegang krijgen tot de computer. Om deze toegang permanent te behouden, werd er een slim scriptje geïnstalleerd dat elke minuut probeerde opnieuw verbinding te maken.
Om zo'n digitale achterdeur volledig open te zetten, zijn echter beheerdersrechten op de computer nodig. Omdat de meeste gebruikers die rechten niet standaard aan de extensie gaven, is die stap op de meeste apparaten mislukt. De aanvallers konden daardoor in de praktijk niet daadwerkelijk inbreken op de computer.
Directe maatregelen
De beheerders van de Cursor-winkel hebben direct ingegrepen door de valse software meteen te verwijderen en te blokkeren. De gehele softwarewinkel is uit voorzorg tijdelijk offline gehaald, gecontroleerd en na grondige beveiligingsupdates weer opengesteld. Daarnaast is er samengewerkt met de provider die de computer van de aanvallers hostte. Die server is permanent uitgeschakeld, waardoor de nep-extensie geen gegevens meer kan versturen en de achterdeur definitief is geblokkeerd.
Wat moet u doen als u bent getroffen?
Als u de betreffende extensie heeft geïnstalleerd op een Windows- of Mac-computer, is het belangrijk om actie te ondernemen. Alleen de extensie verwijderen is namelijk niet genoeg, omdat de opgezette achtergrondprogramma's anders actief blijven.
Om te beginnen kunt u controleren of de herkenningssleutel van de aanvaller (svc-telemetry) op uw computer staat. Vervolgens kunt u met het officiële herstelscript (remediate-macos.sh voor Mac of remediate-windows.ps1 voor Windows) de achtergebleven programma's, geplande taken en onbevoegde sleutels automatisch laten verwijderen. Verander tot slot voor de zekerheid uw wachtwoorden en inlogtokens van diensten waar u vanaf die computer bij kon. Doe dit wel vanaf een ander, veilig apparaat.
