Tiện ích mở rộng Claude Code độc hại tấn công chuỗi cung ứng Cursor

Một cuộc tấn công chuỗi cung ứng nhắm vào người dùng Cursor đã bị phát hiện khi kẻ xấu đẩy các phiên bản giả mạo của tiện ích mở rộng Claude Code do Anthropic phát triển lên chợ tiện ích mở rộng của Cursor. Sự cố diễn ra ngày 29/10 và các phiên bản độc hại tồn tại công khai trong khoảng 11 giờ trước khi bị gỡ bỏ.

Minh họa tấn công chuỗi cung ứng

Chi tiết vụ việc

Cụ thể, các phiên bản 2.1.312 và 2.1.313 của tiện ích anthropic.claude-code đã được đăng tải lên Cursor VS Code Extension Marketplace. Đây là các bản bị chỉnh sửa, không phải do Anthropic phát triển và cũng không được đẩy lên Microsoft Visual Studio Marketplace, Open VSX hay NPM registry.

Theo nhà nghiên cứu bảo mật Kevin Beaumont, ước tính khoảng 5.000 hệ thống của lập trình viên có thể đã tải xuống các phiên bản độc hại này.

"Kẻ tấn công đã lợi dụng quyền truy cập vào chợ của Cursor để đăng một bản sao bị chỉnh sửa của tiện ích Claude Code, bản mà chúng tôi không xây dựng hay phát hành. Các phiên bản trên kênh chính thức của chúng tôi không bị ảnh hưởng, và sự cố này chỉ tác động tới người dùng Cursor", Felix Rieseberg của Anthropic cho biết.

Cơ chế tấn công

Các bản độc hại nhắm vào cả người dùng macOS và Windows, chứa mã JavaScript được thiết kế để chạy ngay khi các mô-đun được tải, qua đó thiết lập đường hầm SSH ngược (reverse SSH tunnel).

Theo phân tích của Microsoft, mã độc thực hiện chuỗi hành động:

• Thu thập thông tin trinh sát máy nạn nhân: tên máy, tên người dùng, hệ điều hành, kiến trúc hệ thống, thư mục làm việc và email Git toàn cục
• Cài đặt khóa SSH, bật dịch vụ SSH và tạo đường hầm ngược
• Triển khai các kịch bản đặc thù theo nền tảng cùng cấu hình khởi động để duy trì sự tồn tại
• Gửi thông tin máy nạn nhân về máy chủ của kẻ tấn công thông qua một lệnh gọi trễ

Điểm mấu chốt khiến cuộc tấn công chưa đạt hiệu quả trọn vẹn là việc bật dịch vụ SSH cục bộ đòi hỏi quyền quản trị viên, trong khi tiện ích mở rộng không có quyền này trên hầu hết hệ thống macOS và Windows. Do bước này thất bại, kẻ tấn công không thể đăng nhập qua đường hầm.

Cursor và Anthropic phản ứng

Sau khi phát hiện, Cursor đã gỡ ngay tiện ích bị chỉnh sửa khỏi cửa hàng và tạm đình chỉ chợ tiện ích mở rộng để điều tra. Đơn vị này khẳng định không tìm thấy tiện ích độc hại nào khác, đã xoay toàn bộ khóa, xây dựng lại và mở lại chợ. Cursor cũng phối hợp với nhà cung cấp dịch vụ đám mây đang vận hành máy chủ của kẻ tấn công để đưa nó offline.

Về phía Anthropic, để tránh nhầm lẫn, hãng đã cập nhật tiện ích Claude Code chính thức lên thẳng phiên bản 2.1.314.

"Chúng tôi không có bằng chứng cho thấy các phiên bản khác của tiện ích hay bản phân phối chính thức bị ảnh hưởng", Cursor cho biết.

Khuyến nghị cho người dùng và doanh nghiệp

Người dùng được khuyến cáo gỡ các phiên bản độc hại càng sớm càng tốt. Cursor đã phát hành script hỗ trợ phát hiện nhiễm độc cùng các chỉ dấu xâm nhập (IoCs) để rà soát trên toàn hệ thống.

Cảnh báo bảo mật chuỗi cung ứng phần mềm

Lưu ý quan trọng: việc chỉ gỡ tiện ích mở rộng có thể không đủ. Mã độc để lại các kịch bản duy trì sự tồn tại độc lập vẫn tiếp tục chạy sau khi gỡ. Cursor đưa ra quy trình xử lý:

• Cô lập các máy có dấu hiệu thực thi mã độc hoặc bị cài backdoor
• Xóa khóa SSH trái phép, các cơ chế duy trì và tiến trình đường hầm đang chạy
• Đánh giá xem có cần cài đặt lại toàn bộ máy hay không

Bài học cho lập trình viên Việt Nam

Sự cố này là lời cảnh báo rõ ràng với cộng đồng lập trình viên và các đội phát triển phần mềm tại Việt Nam – những người ngày càng sử dụng rộng rãi các trợ lý lập trình AI như Claude Code, Cursor hay GitHub Copilot.

Một số lưu ý thực tế:

• Chỉ tải tiện ích mở rộng từ kênh phân phối chính thức của nhà phát triển, kiểm tra kỹ tên nhà xuất bản trên marketplace
• Theo dõi phiên bản và đối chiếu với thông báo chính thức từ hãng
• Không cấp quyền quản trị viên cho các công cụ lập trình không thực sự cần thiết
• Với doanh nghiệp, cần có quy trình quản lý chuỗi cung ứng phần mềm và công cụ giám sát phụ thuộc, đặc biệt khi đội ngũ dùng chung môi trường phát triển

Vụ việc một lần nữa cho thấy chuỗi cung ứng phần mềm – từ các gói npm cho tới tiện ích mở rộng IDE – vẫn là bề mặt tấn công hấp dẫn, nơi chỉ một khoảng thời gian ngắn bị lộ lọt cũng đủ khiến hàng nghìn lập trình viên gặp rủi ro.