claude-code-backdoor-check

Сканер только для чтения и правила обнаружения для троянизированного расширения [email protected].

[!WARNING] Маркетплейс Cursor распространял сборку, не опубликованную Anthropic, 2026-10-29, 09:27–20:35 UTC. Она внедряет SSH-ключ и механизм закрепления, а затем открывает обратный туннель к 134.209.82[.]225. Обновление до 2.1.314 удаляет расширение, но не то, что оно внедрило.

_{Независимый инструмент сообщества от HappyHackingSpace. Не связан с Anthropic или Cursor.}

Содержание: Быстрый старт · Что проверяется · Правила обнаружения · Если обнаружено срабатывание · Блокировка C2 · IOC · Ссылки

Быстрый старт

git clone https://github.com/happyhackingspace/claude-code-backdoor-check.git
cd claude-code-backdoor-check
bash check.sh           # fast scan
bash check.sh --deep    # + sshd log analysis (slower on macOS)

• Один bash-файл, только чтение: без sudo, без сети, без записи.
• Работает на macOS (bash 3.2+) и Linux.
• Коды выхода: 0 — чисто · 1 — найдены индикаторы · 2 — ошибка использования.

Вердикты

Что проверяется

[!NOTE] com.apple.sysmond также является настоящим системным демоном Apple. Вредоносна только копия в пользовательском домене (~/Library/LaunchAgents).

Правила обнаружения

Для конвейеров EDR/SIEM и охоты по всему парку. В отличие от остальной части этого README, файлы правил содержат C2 в необезвреженном виде, поскольку они должны с ним сопоставляться.

Sigma (rules/sigma/)

pip install sigma-cli
sigma plugin install splunk                     # or elasticsearch, microsoft365defender, …
sigma convert -t splunk --without-pipeline rules/sigma/

YARA (rules/yara/claude_code_backdoor.yar)

yara -r -s rules/yara/claude_code_backdoor.yar \
  ~/.cursor/extensions ~/.vscode/extensions ~/.config ~/.ssh ~/Library/LaunchAgents

[!TIP] Правила Sigma также покрывают Windows (запланированная задача, установка OpenSSH), чего check.sh не делает.

Если вы обнаружили срабатывание

[!CAUTION] Механизм персистентности заново открывает туннель примерно каждые 60 секунд. Сначала локализуйте, затем очищайте. Cursor также публикует официальные скрипты исправления: см. его уведомление о безопасности.

1. Локализация. Отключите машину от сети или заблокируйте C2.

2. Сохраните доказательства перед удалением чего-либо:

mkdir -p ~/ioc-evidence && cd ~/ioc-evidence
bash /path/to/check.sh --deep --no-color > scan.txt
cp -p ~/.ssh/authorized_keys ~/.ssh/known_hosts ~/.config/.smt ~/.config/.smtk . 2>/dev/null

[!IMPORTANT] .smtk — это приватный ключ туннеля атакующего. Храните папку с доказательствами в приватном месте.

3. Очистка. Удалите механизм персистентности, завершите туннель, удалите артефакты:

C2="$(echo '134.209.82[.]225' | tr -d '[]')"

launchctl bootout gui/$(id -u)/com.apple.sysmond
rm -f ~/Library/LaunchAgents/com.apple.sysmond.plist
pkill -f "tunnel@$C2"; pkill -f 'autossh -M 0'; pkill -f '\.config/\.smt'
sed -i.bak '/svc-telemetry/d' ~/.ssh/authorized_keys
ssh-keygen -R "$C2"
rm -f ~/.config/.smt ~/.config/.smtk "$TMPDIR"/.stk_*
sudo systemsetup -setremotelogin off      # if you don't use SSH

crontab -l | grep -vE '\.config/\.smt|tunnel@' | crontab -
# disable and remove any systemd/autostart entries check.sh reported
pkill -f "tunnel@$C2"; pkill -f 'autossh -M 0'; pkill -f '\.config/\.smt'
sed -i.bak '/svc-telemetry/d' ~/.ssh/authorized_keys
ssh-keygen -R "$C2"
rm -f ~/.config/.smt ~/.config/.smtk /tmp/.stk_* /var/tmp/.stk_*
sudo systemctl disable --now ssh          # if you don't use SSH

4. Замените расширение. Удалите anthropic.claude-code-2.1.313* и установите ≥ 2.1.314.

5. Проверьте. bash check.sh --deep должен завершиться с кодом 0.

6. Смените учётные данные с другой, чистой машины: SSH-ключи, git-токены, облачные и API-ключи, токены реестров. Начните со списка в разделе [9/9].

7. Пересоберите машину, если C2 присутствует в known_hosts или sshd принял ключ атакующего.

Скомпрометировано, но чисто?

Запустите с --deep. Смените как минимум секреты, перечисленные в разделе [9/9], поскольку их имена передавались в beacon-запросах. Оставьте C2 заблокированным.

Блокировка C2

Имплант подключается к IP напрямую, поэтому DNS-фильтры (NextDNS, Pi-hole) его не видят. Блокируйте его на межсетевом экране:

IOC