Komunitas pengembang perangkat lunak dikejutkan oleh insiden keamanan yang menimpa editor Cursor. Selama sekitar 11 jam pada 29 Oktober, dari pukul 09.27 hingga 20.35 UTC, marketplace ekstensi milik Cursor menyajikan versi palsu dari ekstensi Claude Code yang telah disusupi backdoor SSH. Pengguna yang mengaktifkan fitur pembaruan otomatis berisiko menerima versi berbahaya ini secara langsung tanpa interaksi manual.
Pihak Cursor mengonfirmasi bahwa versi yang terdampak adalah 2.1.312 dan 2.1.313 untuk sistem operasi Windows dan macOS. Diperkirakan hingga 5.000 pengembang telah mengunduh atau memperbarui ekstensi terinfeksi tersebut. Insiden ini menjadi perhatian serius bagi integritas keamanan pengembang di lingkungan kerja modern.
Modus Operasi dan Data Pengembang yang Dicuri
Ekstensi berbahaya ini dirancang sedemikian rupa agar tetap terlihat dan berfungsi normal layaknya rilis asli dari Anthropic. Namun, penyerang telah menyisipkan pemuat kode pendek di bagian paling depan. Pemuat ini langsung berjalan otomatis begitu editor Cursor dibuka. Pengguna bahkan tidak perlu membuka jendela obrolan Claude untuk memicu eksekusi kode jahat tersebut.
Begitu aktif, skrip ini memanen sejumlah informasi sensitif dari komputer korban. Data yang dikirim ke server pelaku meliputi hostname, nama pengguna, jenis sistem operasi, alamat email Git yang terkonfigurasi, hingga IP publik. Selain itu, sistem jahat ini memindai dan mengumpulkan nama variabel lingkungan yang terindikasi berisi kata sandi atau token rahasia.
Tidak berhenti di situ, serangan ini menyuntikkan kunci SSH khusus dengan label svc-telemetry ke dalam file otorisasi sistem. Skrip ini juga mendaftarkan tugas otomatis melalui LaunchAgent di macOS atau scheduled task di Windows. Sebagian besar upaya pembuatan terowongan jarak jauh gagal karena membutuhkan hak akses administrator. Meski begitu, data awal pengembang tetap berhasil terkirim ke server peretas.
Distribusi Terisolasi di Marketplace Cursor
Insiden ini tidak bersumber dari infrastruktur utama Anthropic. Felix Rieseberg dari staf teknis Anthropic menegaskan bahwa sistem internal perusahaan mereka berada dalam kondisi aman. Peretas murni memanfaatkan celah akses pada marketplace milik Cursor untuk mempublikasikan salinan ekstensi IDE yang telah dimanipulasi.
Versi resmi yang beredar di marketplace Microsoft, Open VSX, maupun paket npm dinyatakan sepenuhnya bebas dari infeksi. Hingga kini, pihak Cursor maupun Anthropic belum membeberkan bagaimana peretas mendapatkan akses untuk mengunggah berkas palsu tersebut. Kejadian ini mencatatkan kali ketiga dalam sepekan nama Claude disalahgunakan, setelah sebelumnya ditemukan halaman unduhan palsu di domain claude.ai serta aplikasi tiruan bertanda tangan digital.
Panduan Deteksi dan Pembersihan Sistem Pengembang
Melakukan pembaruan ekstensi ke versi bersih 2.1.314 ternyata tidak cukup. Skrip peluncuran otomatis yang sudah terpasang akan tetap beroperasi secara mandiri di latar belakang. Pembaruan biasa tidak cukup.
Untuk pengguna macOS, periksa file ~/.ssh/authorizedkeys melalui Terminal dan cari entri bernama *svc-telemetry*. Bagi pengguna Windows, lakukan pencarian serupa menggunakan PowerShell pada file authorizedkeys di dalam folder .ssh profil pengguna serta direktori C:\ProgramData\ssh\administratorsauthorizedkeys. Jika entri tersebut ditemukan, sistem Anda dipastikan telah terinfeksi.
Langkah Pemulihan dan Penanganan Lanjutan
Jika perangkat terindikasi terkena penyusupan, pembersihan menyeluruh harus segera dilakukan. Cursor telah menyediakan skrip pembersih khusus untuk macOS dan Windows yang bertugas menghapus ekstensi terinfeksi, kunci SSH, tugas otomatis, serta jalur terowongan yang sedang berjalan.
Setelah proses pembersihan selesai, langkah krusial berikutnya adalah memperbarui seluruh kata sandi, token akses, dan kunci API. Penggantian kredensial ini wajib dilakukan dari perangkat lain yang tepercaya. Instal ulang adalah pilihan teraman untuk memastikan tidak ada sisa pintu belakang yang tertinggal pada mesin kerja Anda.
