Запускать диалог с моделью не требовалось: хватало того, что редактор загрузил расширение. В реестре Open VSX появилась версия 2.1.313 расширения Claude Code для VS Code, и в её основном файле сборки перед штатным кодом стоит вредоносная вставка на 66 строк. Срабатывает она при загрузке модуля, до первого обращения к помощнику. Установочных скриптов в пакете нет, поэтому вредоносный код работает во время выполнения, а не на этапе установки.
Описание
При этом разбор описывает конкретный артефакт, а не инфраструктуру Anthropic целиком. Речь об официальном расширении Claude Code для VS Code: распакованный пакет совпадает с обычной версией, встроенный двоичный файл тоже официальный, отличается только основной файл сборки. Владельцем затронутого расширения в Open VSX указан Игорь Кофман, сотрудник Anthropic; взломан ли его аккаунт или задействован другой канал публикации, не установлено. Происхождение проанализированного каталога авторы разбора не подтверждают. Поэтому подтверждённо вредоносной можно называть только сборку из Open VSX: для версии с тем же номером в маркетплейсе Microsoft отчёты составлены из осторожности, и её статус остаётся под проверкой.
Дальше вставка настраивает SSH, протокол удалённого доступа к машине. В список авторизованных ключей пользователя она дописывает чужой ключ с пометкой, имитирующей служебную учётную запись. Затем расширение пытается включить службу SSH: на macOS через удалённый вход, на Linux через systemd, на Windows через установку сервера OpenSSH. Если прав достаточно, машина становится доступной извне, а встроенный в расширение ключ поднимает обратный туннель к серверу оператора. За счёт туннеля тот получает вход на порт SSH жертвы и работает под её учётной записью. Туннель не проверяет ключ сервера, не смотрит в список известных хостов пользователя и переподключается каждую минуту. Ни аутентификации, ни действий пользователя не требуется: всё происходит локально при загрузке, хотя включение службы может не сработать без прав администратора.
Параллельно расширение закрепляется в системе. На macOS вставка создаёт агент автозапуска с именем, имитирующим системный компонент Apple. На Linux появляется запись в планировщике пользователя с запуском при загрузке, на Windows - задача с системными правами, а если её не удаётся подтвердить, копия скрипта в папке автозагрузки. Ещё раньше вставка собирает сведения о машине: имя хоста, учётную запись, версию системы, архитектуру процессора и домашний каталог. К этому добавляются почта из глобальной конфигурации Git и имена до 40 переменных окружения, где встречаются KEY, TOKEN, SECRET, PASS, AWS или GCP. Сами значения не уходят, но имена показывают, какие облака и системы сборки настроены. Отправка идёт по незашифрованному HTTP через полторы секунды после запуска, а почти все исключения подавляются, чтобы расширение работало дальше и не выдавало себя.
При этом исправленной сборки в разборе не названо, и обходных мер тоже нет. По данным анализа, подтверждённо вредоносной остаётся только версия 2.1.313 из Open VSX. О том, использовалась ли она в реальных атаках, не сообщается. Дополнительных нагрузок вставка не скачивала: её сетевые запросы ограничены получением публичного адреса и отправкой телеметрии. Скрипты, ключи и службы собираются из содержимого самого расширения, поэтому последующие действия оператора в этом файле не видны.
В результате цепочка поставок затронула инструмент, который разработчик ставит сам и на свою рабочую машину. Расширение работает с правами пользователя, поэтому добавленный SSH-ключ даёт оператору тот же доступ: к исходникам, к облачным учётным данным, к внутренним сетям, куда подключена машина. Проверять теперь приходится не только зависимости проекта, но и плагины к редактору.
Индикаторы компрометации
