Microsoft Threat Intelligence pada 30 Oktober 2026 membedah kode suntikan ke paket anthropic.claude-code versi 2.1.312 dan 2.1.313 yang sempat tersedia di Cursor VS Code Extension Marketplace. Temuan itu melengkapi pemberitahuan keamanan Cursor (29 Oktober 2026) tentang ekstensi Claude Code berbahaya yang mencoba backdoor SSH persisten. Jadi paket tersebut bukan karya Anthropic. Bukti publik saat ini membatasi insiden pada marketplace Cursor, bukan Visual Studio Marketplace resmi Microsoft maupun distribusi npm resmi @anthropic-ai/claude-code.
Cursor melaporkan jendela distribusi sekitar 02.27–13.35 PDT pada 29 Oktober 2026. Lantaran itu, Microsoft menegaskan urutan eksekusi kode hanya menunjukkan apa yang loader mencoba lakukan, bukan bukti setiap langkah berhasil di setiap workstation. Server callback penyerang sudah tidak berfungsi menurut Cursor. Namun kunci SSH, skrip, atau entri startup yang sempat ada di disk tidak hilang otomatis saat Anda menghapus ekstensi.
Apa yang Microsoft ungkap tentang ekstensi Claude Code berbahaya
Laporan awal publik kerap menonjolkan versi 2.1.313 saja. Selanjutnya, sumber primer terbaru konsisten menyertakan 2.1.312 dan 2.1.313 untuk macOS dan Windows. Koreksi scope versi penting karena pemeriksaan forensik dan hunting endpoint harus mencocokkan hash paket, catatan instalasi, dan versi terpasang. Jadi jangan mengandalkan asumsi satu nomor build.
Microsoft merekonstruksi lima tahap loader: rekognisi host saat modul aktif, persiapan otorisasi SSH, reverse forwarding, persistence spesifik platform, lalu callback tertunda yang mengirim detail host. Kemudian loader memakai komponen tertanam dan utilitas sistem bawaan tanpa unduhan executable terpisah. Loader sengaja menekan output perintah agar ekstensi tetap tampak normal.
Scope paparan ekstensi berbahaya dan saluran yang tidak terdampak
Risiko terbesar ada bagi pengembang yang memasang atau memperbarui paket dari Cursor Extension Marketplace dalam jendela waktu di atas. Cursor mencatat tindakan mitigasi vendor: penghapusan paket, penutupan sementara marketplace, rotasi kunci, rebuild marketplace, dan koordinasi untuk menonaktifkan infrastruktur penyerang.
Microsoft menyatakan paket berbahaya tidak pernah masuk Visual Studio Marketplace resmi. Pemeriksaan mereka per 30 Oktober 2026 juga tidak menemukan dampak pada npm resmi. Pernyataan itu membatasi generalisasi ke semua saluran distribusi VS Code. Namun tetap jalankan audit instalasi lokal di setiap tim.
Mekanisme upaya backdoor dan dua identitas SSH
Bedah kode menunjukkan dua peran kunci SSH yang berbeda secara konseptual. Satu kunci publik embedded mengotorisasi akun pengguna workstation (marker komentar svc-telemetry pada entri authorized_keys). Kemudian identitas terpisah melayani koneksi outbound ke akun tunnel di server penyerang. Loader meminta forwarding menuju port SSH lokal (-R '*:0:localhost:22').
Cursor dan Microsoft sama-sama menekankan batas keberhasilan. Mengaktifkan layanan SSH lokal umumnya membutuhkan hak administrator. Ekstensi ini tidak punya hak itu di sebagian besar host macOS dan Windows. Meski kegagalan tunnel atau layanan SSH tidak membuktikan host bersih, loader tetap dapat menulis kunci, skrip persistence, atau konfigurasi startup.
Callback tertunda mengirim nama environment variable yang cocok pola sensitif (contoh: mengandung KEY, TOKEN, SECRET). Microsoft menegaskan payload itu bukan nilai secret. Akhirnya, tim perlu menilai risiko kredensial setelah akses remote lewat log autentikasi dan inventaris session.
Microsoft menempatkan insiden ini dalam kerangka supply-chain extension. Pengguna percaya identitas visual merek Claude Code, sementara aktor mengubah kode aktif di marketplace Cursor. Selanjutnya, hunting di lingkungan Defender dapat membantu. Walau kecocokan nama file atau query bawaan vendor tetap hanya lead investigasi, korelasikan versi paket, sumber instalasi, aktivitas proses, dan jejak kunci SSH sebelum menutup kasus.
Anthropic, menurut Microsoft, mengonfirmasi sistem resmi mereka aman dan paket berbahaya bukan karya mereka. Tetapi klaim itu tidak mengurangi kewajiban triage di workstation yang sempat memasang build terdampak dari marketplace Cursor.
Persistence di luar folder ekstensi
Lantaran uninstall saja sering tidak cukup, artefak muncul di luar direktori ekstensi. Berikut ringkasan mekanisme yang Microsoft dan Cursor sebut: LaunchAgent pengguna di macOS (label menyerupai komponen pemantauan), cron @reboot di Linux, serta scheduled task dan fallback startup folder di Windows. Nama seperti SysMon atau sysmond sendiri bukan bukti malicious kecuali Anda periksa aksi yang dikonfigurasi.
Microsoft juga membedah jalur Linux meski notice Cursor mengarahkan scope pengguna utama ke macOS dan Windows. Tanpa data pemasangan marketplace per platform, jangan memperluas klaim jumlah korban Linux.
Urutan respons defensif yang disarankan vendor
Untuk workstation yang cocok versi, sumber, platform, dan waktu instalasi, urutan operasional mengikuti advisory resmi. Berikut langkah intinya: validasi dampak dengan skrip dan indikator yang Cursor publikasikan. Kemudian korelasikan telemetri endpoint dan jaringan. Lalu isolasi host bila ada bukti eksekusi payload. Setelah preservasi bukti, hapus kunci dan mekanisme persistence. Akhirnya, rotasi kredensial atau revoke session dari perangkat tepercaya bila investigasi menunjukkan exposure.
Cursor menyediakan skrip remediasi platform-spesifik dan daftar IOC (hash VSIX, fingerprint kunci, nama persistence) di halaman notice yang sama. Artikel ini sengaja tidak menyalin private key, perintah tunnel lengkap, atau alamat infrastruktur aktif agar tetap defensif. Jadi tim forensik perlu mengunduh IOC terbaru langsung dari sumber primer. Daftar indikator dapat berubah tanpa mengubah narasi insiden inti.
Tim SOC sebaiknya membedakan insiden workstation developer dari kompromi konten web. Sedangkan backdoor di laptop pengembang berbeda dari injeksi malware di hosting, meski keduanya butuh respons terstruktur. Pembaca yang membandingkan risiko backdoor di endpoint dengan pembersihan situs dapat merujuk metode serangan dan backdoor pada website sebagai konteks terpisah dari insiden ekstensi IDE ini.
Organisasi yang mengandalkan pasar ekstensi pihak ketiga dapat memperketat review sebelum go-live internal, termasuk untuk kode hasil bantuan AI. Checklist review kode buatan AI sebelum go-live relevan sebagai disiplin proses, bukan pengganti IOC resmi Cursor dan Microsoft.
Jumlah unduhan atau lebar jendela paparan marketplace bukan jumlah host yang penyerang kuasai secara terbukti. Namun Microsoft maupun Cursor belum mempublikasikan angka kompromi terkonfirmasi per endpoint.
Keputusan editorial CodeF untuk URL existing /berita/ekstensi-claude-code-berbahaya-cursor-2-1-313/ adalah merge-update. Judul dan isi kami selaraskan dengan sumber 29–30 Oktober 2026 tanpa membuka artikel kedua untuk insiden yang sama. Saat publish ke WordPress, pertahankan slug dan canonical lama, ganti H1 sesuai judul frozen, lalu perbarui tanggal modified. Ternyata pembaruan naskah berikutnya akan mengikuti advisory primer bila wording atau scope berubah setelah 1 November 2026.
