Anthropic, attacco alla catena di fornitura per Claude Code: colpite cinquemila utenze

Anthropic è stata colpita da un attacco alla catena di fornitura (supply chain attack) che ha coinvolto l'estensione ufficiale Claude Code per l'ambiente di sviluppo VS Code. Una versione malevola del software, identificata come la 2.1.313, è stata distribuita attraverso i cataloghi Open VSX e il marketplace Cursor, permettendo l'installazione di un backdoor SSH sui computer di sviluppatori che utilizzano sistemi operativi macOS, Linux e Windows.

La scoperta dell'incidente è avvenuta grazie ai ricercatori di sicurezza della società Phorion, i quali hanno individuato un'attività sospetta nei sistemi terminali degli utenti. Secondo quanto riportato dagli esperti, la versione compromessa era in grado di stabilire un accesso remoto permanente. Gli analisti hanno raccomandato alle organizzazioni di verificare immediatamente la presenza della versione 2.1.313 nei propri ambienti di lavoro e di avviare le procedure di risposta agli incidenti in caso di riscontro positivo.

Il team di Cursor ha confermato l'accaduto specificando che circa 5.000 utenti sono stati interessati dall'attacco. Sebbene la versione malevola non sia mai apparsa sul Microsoft Visual Studio Marketplace ufficiale, è stata caricata sui cataloghi secondari tramite un account verificato appartenente ad Anthropic. I gestori di Cursor hanno dichiarato: "Oggi abbiamo individuato un incidente di sicurezza relativo a una specifica estensione nel marketplace di Cursor VS Code - Anthropic.claude-code versione 2.1.313. Questa versione malevola dell'estensione non è stata sviluppata da Anthropic. Sono stati colpiti non più di 5.000 utenti; li contatteremo direttamente".

Il malware contenuto nell'estensione raccoglieva una vasta gamma di informazioni sensibili, tra cui il nome dell'host, il nome utente, l'architettura del sistema operativo, le variabili d'ambiente, le directory di lavoro, l'indirizzo email configurato per Git e l'indirizzo IP pubblico. Inoltre, il codice tentava di inserire una chiave SSH controllata dagli aggressori nel file delle chiavi autorizzate del sistema, cercando di attivare un tunnel SSH inverso. Nonostante questi tentativi, gli esperti hanno rilevato che la creazione del tunnel SSH falliva in molti casi a causa di errori nel codice malevolo, tranne nelle situazioni in cui l'ambiente di sviluppo veniva eseguito con privilegi di amministratore.

Per garantire la persistenza dell'accesso, il software utilizzava meccanismi di avvio automatico come LaunchAgent su macOS e attività pianificate su Windows, con script in grado di tentare il ripristino del tunnel ogni 60 secondi. Anthropic ha rimosso la versione infetta sostituendola con la 2.1.314, la quale non presenta tracce di codice dannoso. Tuttavia, l'azienda è stata criticata per non aver inizialmente avvisato i propri clienti dell'avvenuta compromissione. È importante notare che l'aggiornamento alla nuova versione non elimina automaticamente il backdoor SSH o eventuali modifiche apportate dai criminali informatici nei sistemi già infetti.

Tra le misure correttive adottate, il marketplace di Cursor è stato temporaneamente disattivato per consentire un audit completo della sicurezza e l'aggiornamento delle chiavi di accesso. Il server utilizzato dagli aggressori per ricevere i dati è stato disabilitato grazie alla collaborazione con il fornitore di hosting. L'incidente segue di poco l'introduzione, nella versione 2.1.311 di Claude Code, di una funzione che consente all'agente di intelligenza artificiale di eseguire comandi di eliminazione file senza richiedere la conferma dell'utente, qualora configurata tramite variabili d'ambiente.