Beveiligingsonderzoekers melden een serieuze supply-chain aanval op de Claude Code VS Code-extensie. De officiële extensie bleek gecompromitteerd op de Open VSX-registry, waarna op geïnfecteerde systemen een persistente SSH-backdoor werd geïnstalleerd. Voor wie de extensie tijdens de getroffen periode auto-update aan had staan, is snel handelen verstandig.
De aanval draaide om een gemanipuleerde variant van de extensie die niet door Anthropic was ontwikkeld. Inmiddels is de schadelijke versie verwijderd en is er een bijgewerkte release beschikbaar. Toch is de kern van het risico dat de attacker SSH-toegang opbouwt en daarna via een reverse tunnel een route naar het systeem kan onderhouden.
Wat is er precies gebeurd met de Claude Code VS Code-extensie?
De onderzoekers koppelen de incidentketen aan een compromis van de Cursor Marketplace. Cursor nam de service kort offline om malware te verwijderen en gaf aan dat het om een gewijzigd pakket ging dat via de extensie-marktplaats in Cursor werd benaderd.
Volgens de melding was de impact beperkt tot maximaal 5.000 gebruikers die tussen 2:27 a.m. en 1:35 p.m. PT op 29 oktober 2026 de gemanipuleerde extensie binnenhaalden. De onderzoekers stellen dat de versie zich identificeerde als anthropic.claude-code versie 2.1.313, terwijl het hoofdscript een kwaadwillende loader bevatte die vóór de legitieme code werd ingevoegd.
Hoe werkt de SSH-backdoor in de extensie?
De Claude Code VS Code-extensie is ontworpen om pas actief te worden nadat VS Code is opgestart en wanneer de webview open is. Daarna voegt de malware een aanvallerssleutel toe aan het bestand ~/.ssh/authorized_keys.
Om de aanwezigheid te verdoezelen labelt de sleutel zichzelf als svc-telemetry, alsof het om onschuldige telemetry-functionaliteit zou gaan. Vervolgens probeert de aanvaller de victim bereikbaar te maken via SSH op meerdere besturingssystemen: Windows, Linux en macOS.
Reverse tunnel, persistence en beacon
De malware richt een reverse tunnel in naar een externe bestemming: 134.209.82[.]225. Ook wordt er persistente uitvoering ingesteld via platform-specifieke mechanismen, zoals:
- een scheduled task op Windows
- aanpassingen in crontab op Linux
- een LaunchAgent op macOS
Daarna stuurt de malware hostrecon data naar 134.209.82[.]225:8099/beacon via een ongeëncrypteerde HTTP-aanroep. Op macOS en Windows zou een deel van de aanval afhankelijk zijn van adminrechten: Cursor geeft aan dat de stap om de lokale SSH-service “aan te zetten” vaak faalt zonder voldoende rechten, maar dat de extensie nog steeds de SSH-sleutel kon toevoegen, persistence kon installeren en hostgegevens kon doorgeven.
Welke gegevens worden verzameld?
De verzamelde informatie omvat onder meer:
- het publieke IP via api.ipify[.]org
- hostname en lokale gebruikersnaam
- het besturingssysteem en CPU-architectuur
- home- en werkdirectory’s
- de globale Git e-mailinstelling (git config –global user.email)
- namen van tot 40 environment variables die wijzen op gevoelige waarden (zoals KEY, TOKEN, SECRET, PASS, AWS of GCP)
Belangrijk is dat de onderzoekers aangeven dat de waarden zelf niet direct in de eerste beacon worden geplaatst. Toch kunnen de namen al veel onthullen over welke cloudproviders, CI-systemen en credentialtypes zijn ingericht. En als de attacker later via SSH toegang krijgt, kan die account direct worden onderzocht.
Wat is er inmiddels opgelost?
Volgens de updates is de schadelijke versie inmiddels verwijderd. Anthropic publiceerde daarna versie 2.1.314 zowel op Open VSX als op de Microsoft VS Code Marketplace.
Cursor meldde bovendien dat de geïnfecteerde extensie via auto-update op een systeem kon belanden, waardoor mensen zonder bewuste actie toch de gemanipuleerde variant konden installeren. Omdat het pakket snel is teruggetrokken, is niettemin de kans reëel dat getroffen omgevingen al door de malware zijn geraakt.
Wat moet je nu doen als je de extensie hebt geïnstalleerd?
De aanbeveling is om niet te wachten op zekerheid. De aanval kent geen extra follow-on payloads die zijn waargenomen, maar de reverse tunnel geeft de operator nog steeds een route richting SSH en er zijn persistence-mogelijkheden ingericht. Hieronder staan praktische stappen die passen bij het incident zoals beschreven door de melders.
1) Isoleer verdachte hosts
Als je de Claude Code VS Code-extensie tijdens de window hebt geïnstalleerd of laat auto-update actief stond, is isoleren het startpunt. Zo voorkom je dat een reeds geïnstalleerde persistente component verder communiceert.
2) Verwijder de ongeautoriseerde SSH key
Controleer of er een extra entry staat in ~/.ssh/authorized_keys die niet van jou of je normale tooling is. Let specifiek op een sleutel die aan “svc-telemetry” kan zijn gelabeld.
3) Haal persistence-mechanismen weg
Omdat de malware platform-specifieke persistency gebruikt, controleer per besturingssysteem de mechanismen:
- Windows: scheduled tasks
- Linux: crontab-regels
- macOS: LaunchAgents
4) Rotatie van sessies en credentials
Na het verwijderen van de backdoor is het verstandig om accounts en tokens opnieuw te laten uitgeven. Draai waar mogelijk sessies uit en roteer credentials die door de betrokken developeromgeving of CI-workflows kunnen zijn gebruikt.
Waarom dit incident extra aandacht vraagt
Dit geval illustreert hoe kwetsbaar softwareketens kunnen zijn wanneer een pakket in een ecosysteem wordt gemanipuleerd. Je vertrouwt dan op de extensieregistry en op updates, terwijl de echte dreiging buiten je eigen codebase kan liggen.
Als je kijkt naar eerdere incidenten rond gemanipuleerde of gecompromitteerde supply-chain componenten, zie je een terugkerend patroon: eenmaal geïnstalleerd, kan malware heimelijk persistente toegang opbouwen. Voor vergelijkbare context rondom supply-chain aanvallen kun je ook lezen: Supply chain aanval bij Polymarket: $2 miljoen.
Relatie met bredere aanvallen op CLI- en developer tooling
De disclosure noemt bovendien dat dit incident kort na een ander groot supply-chain probleem komt waarbij OVHcloud CLI-binaries waren vervangen door malware. Hoewel het om een andere keten gaat, is de overeenkomst dat ontwikkeltools en distributiekanalen doelwit zijn. Dat maakt het voor teams extra belangrijk om niet alleen eindpunten te monitoren, maar ook de manier waarop tooling wordt geïnstalleerd en bijgewerkt.
Gerelateerd is ook het bredere thema van extensies en pakketten die “legitiem” lijken maar toch kwaadwillende code kunnen bevatten. In dat kader kan het nuttig zijn om supply-chain controles te versterken, zoals het gericht beperken van wie extensies mag toevoegen en het periodiek auditen van geïnstalleerde ontwikkelcomponenten.
Conclusie
De Claude Code VS Code-extensie is gecompromitteerd via Open VSX en heeft op besmette systemen een persistente SSH-backdoor geïnstalleerd. Hoewel de schadelijke versie inmiddels is verwijderd en Anthropic een fix heeft gepubliceerd, moeten gebruikers die de extensie tijdens de getroffen periode installeerden hun omgeving controleren: isoleer, verwijder de SSH-sleutel en persistence, en roteer credentials en sessies.
Heb je de extensie gebruikt? Neem dit incident dan als aanleiding om je update- en extensiebeleid nog eens tegen het licht te houden. Zo voorkom je dat een gemanipuleerde component buiten je zicht alsnog toegang tot je systeem krijgt.
Bron: https://thehackernews.com/2026/10/official-claude-code-vs-code-extension.html
