Acquisition de Cursor par SpaceX suivie d'une infection massive par un logiciel malveillant déguisé

Une campagne d'infection par un logiciel malveillant a touché jusqu'à cinq mille développeurs via la place de marché de l'outil de développement assisté par intelligence artificielle nommé Cursor. Cet incident survient après le rachat de l'éditeur de code par la société SpaceX. L'attaque a utilisé une extension contrefaite se faisant passer pour un outil officiel de la société Anthropic, visant à installer une porte dérobée sur les systèmes des victimes.

La société SpaceX avait précédemment acquis la société mère de Cursor, nommée Anysphere, pour un montant de soixante milliards de dollars américains en août deux mille vingt-six. Cette transaction avait marqué les esprits dans le secteur technologique. Selon une enquête publiée début octobre par la plateforme Stack Overflow, l'outil Cursor détenait une part de marché de vingt-six pour cent parmi les outils de codage par intelligence artificielle utilisés par les développeurs interrogés en deux mille vingt-six.

Le logiciel malveillant a été enregistré sur la place de marché de Cursor en se faisant passer pour une mise à jour officielle de l'extension Claude Code destinée à l'environnement Visual Studio Code développé par Microsoft. Les versions usurpées portaient les numéros deux point un trois cent douze et deux point un trois cent treize. Selon le média The Elec, qui a rapporté les détails de l'incident, le programme est resté accessible pendant environ onze heures avant d'être identifié par la société de sécurité Phorion puis retiré. Malgré cette suppression rapide, le journal The Register indique que le nombre de développeurs infectés pourrait atteindre cinq mille individus.

Le code malveillant était conçu pour fonctionner sur les systèmes d'exploitation Windows, macOS et Linux. Il contenait un mécanisme de porte dérobée SSH persistant destiné à collecter des informations sur le système de l'utilisateur et à tenter d'ouvrir un tunnel SSH inversé vers un serveur contrôlé par les attaquants. Cependant, les scripts nécessaires à l'établissement de ce tunnel requéraient des privilèges d'administrateur sur macOS et Windows. Dans la majorité des environnements touchés, le logiciel n'a pas pu obtenir ces droits élevés, ce qui a empêché l'établissement réussi de la connexion distante.

Malgré l'échec de la création du tunnel, des données ont déjà été exfiltrées vers le serveur des attaquants. Le mécanisme de persistance permettait au logiciel malveillant de s'exécuter même après un redémarrage de l'ordinateur. Le journal The Register a souligné que les informations volées ont bien été transmises, indépendamment du succès de la connexion SSH. Par conséquent, toute personne ayant téléchargé cette version est invitée à procéder à une enquête de sécurité et à un nettoyage complet de son système, même si le tunnel n'a pas fonctionné.

Dès la prise de conscience de la présence de cette version compromise, la société Cursor a retiré le logiciel de sa place de marché et bloqué sa distribution. À titre de mesure préventive, l'entreprise a temporairement suspendu l'ensemble de sa place de marché pour les extensions Visual Studio Code. Elle a ensuite mené un examen complet des autres extensions, remplacé ses propres clés de sécurité et repris le service. Une collaboration avec l'hébergeur du serveur des attaquants a permis de mettre ce dernier hors ligne.

L'exécution du logiciel malveillant entraînait l'ajout d'une clé publique étrangère dans le fichier des clés autorisées SSH de l'utilisateur. Il inscrivait également des fichiers cachés dans les agents de lancement de macOS, les tâches planifiées de Windows ou les tâches Cron de Linux pour assurer sa réexécution au démarrage. Le programme collectait et transmettait le nom d'hôte, le nom d'utilisateur, les informations sur le système d'exploitation, le répertoire de travail, l'adresse électronique Git configurée et l'adresse IP publique. De plus, le nom des variables d'environnement a été récolté, bien que Cursor n'ait pas pu confirmer si les valeurs sensibles contenues dans ces variables, telles que les clés d'interface de programmation ou les jetons d'authentification, avaient également été exfiltrées.

La société Anthropic a précisé que les pirates avaient exploité les autorisations de la place de marché de Cursor pour publier une contrefaçon qu'elle n'avait ni créée ni distribuée. Elle a affirmé que les versions disponibles via ses canaux officiels restaient sûres et que l'impact se limitait aux utilisateurs de Cursor. Ni Cursor ni Anthropic n'ont encore expliqué comment le paquet malveillant a réussi à franchir les processus de validation de la place de marché. Les experts avertissent que la simple mise à jour de l'extension ne suffit pas à supprimer les scripts déjà installés.