Cursor : une version piégée de l'extension Claude Code a été distribuée pendant onze heures sur sa place de marché

Le 29 octobre, l’éditeur de l’outil de programmation Cursor a signalé que deux versions malveillantes (2.1.312 et 2.1.313) de l’extension Claude Code d’Anthropic, pour Windows et macOS, ont été disponibles sur sa place de marché d’extensions (le catalogue intégré où les développeurs installent des compléments) d’environ 2 h 27 à 13 h 35, heure de Californie. Ces versions, qui n’ont pas été produites par Anthropic, s’exécutaient avant l’extension légitime et sans aucune interaction avec l’IA : elles collectaient le nom de la machine, l’utilisateur, l’adresse IP et l’e-mail Git, ajoutaient une clé SSH (accès à distance) de l’attaquant et installaient un mécanisme de relance au démarrage du poste. Cursor a retiré les versions, fermé puis reconstruit sa place de marché, changé ses clés, fait couper le serveur de l’attaquant et publié des scripts de nettoyage, mais ne dit ni comment le paquet a été modifié ni combien de postes sont touchés. Nous signalions hier de faux e-mails d’invitation Anthropic servant à voler des identifiants ; ici, c’est le canal de distribution d’un outil légitime qui a été détourné, et désinstaller l’extension ne suffit pas à assainir la machine. Ce que cela change pour vous : si vos développeurs ou votre prestataire informatique utilisent Cursor, demandez-leur dès lundi de rechercher sur les postes une clé SSH nommée « svc-telemetry », d’appliquer la procédure publiée par Cursor et de renouveler les mots de passe et jetons d’accès utilisables depuis ces machines.