Ekstensi Claude Code (v2.1.313) pada Visual Studio Code Disusupi Trojan dengan Backdoor SSH Persisten
October 30, 2026
Deskripsi
1
| |
|
|
| |
Dipublikasikan pada 30 Oktober 2026, analisis terbaru dari Microsoft Threat Intelligence mengungkap serangan terhadap ekstensi tiruan Claude Code (versi 2.1.313) pada Visual Studio Code yang terdistribusi secara spesifik melalui registry Open VSX. Serangan ini memasang backdoor SSH persisten. Saat ini, tidak ada bukti yang menunjukkan bahwa artifak berbahaya yang setara telah dipublikasikan melalui Microsoft Visual Studio Marketplace atau registry npm.
|
|
| |
|
|
Metode Serangan
2
| |
|
|
| |
Attacker menyisipkan kode JavaScript berbahaya yang langsung tereksekusi saat modul ekstensi dimuat, tanpa mengharuskan pengguna untuk memulai percakapan dengan Claude. Malware mencoba menambahkan key SSH berlabel “svc-telemetry” ke ~/.ssh/authorized_keys dan membuat reverse tunnel persisten ke 134.209.82.225 menggunakan perintah "reverse-forwarding -R *:0:localhost:22". Metode persistensi dipasang di berbagai sistem operasi:
- macOS: Melalui file LaunchAgents tingkat user bernama com.apple.sysmond.plist.
- Windows: Melalui Scheduled Task yang mengandung indikator "SysMon" dan "smt". Malware ini juga terkait dengan hash SHA256 ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15 dan pembuatan file mencurigakan seperti .smt, .smtk, smt.cmd, smtk, sysmon.cmd, atau yang diawali dengan .stk_.
|
|
| |
|
|
Sistem Terdampak
3
| |
|
|
| |
Windows, Linux, dan macOS yang memasang ekstensi anthropic.claude-code versi 2.1.313 pada Visual Studio Code.
|
|
| |
|
|
Mitigasi
4
| |
|
|
| |
- Secara proactive block koneksi network ke IP 134.209.82.225 dari perimeter, terutama outbound traffic di port 22 dan 8099.
- Terapkan kebijakan whitelisting terpusat melalui extension-management controls untuk memastikan environment hanya dapat menginstal ekstensi, publisher, dan versi spesifik yang telah divalidasi keamanannya.
- Selalu validasi extension versions dengan official release info dari publisher sebelum deployment ke environment dev.
- Terapkan least privilege untuk developer accounts dan limit credentials serta production resources yang bisa diakses dari developer workstations.
- Setup continuous monitoring untuk deteksi perubahan di SSH configuration, authorized_keys files, LaunchAgents, Scheduled Tasks, dan lokasi user-level persistence lainnya.
|
|
| |
|
|
Referensi:
2. Microsoft Threat Intelligence - Threat Report: Malicious Claude Code branded extension v2.1.313 contains a persistent SSH backdoor (Activity Profile, Published: Oct 30, 2026).
