Contexte de la compromission
Le 30 octobre 2026, The Hacker News a signalé que l’extension officielle Claude Code pour l’IDE Visual Studio Code a été compromise. L’extension, distribuée via le Marketplace de VS Code, était présentée comme un outil d’assistance à la programmation basé sur le modèle Claude d’Anthropic. Aucun détail technique n’a été fourni sur la méthode d’intrusion, mais la compromission d’une extension officielle implique une faille dans la chaîne d’approvisionnement du logiciel, typiquement au niveau du dépôt de code source ou du processus de signature des paquets.
Mécanismes d’injection du backdoor SSH
Selon les informations disponibles, la version compromise de l’extension installe un « persistent SSH backdoor ». Dans le cadre d’une extension VS Code, le code s’exécute avec les privilèges de l’utilisateur qui lance l’IDE. Un module malveillant peut ainsi créer ou modifier des fichiers de configuration SSH (~/.ssh/config) ou déposer un binaire dans un répertoire accessible au PATH. La persistance est obtenue en ajoutant une entrée de lancement automatique (par exemple, via un script de démarrage ou un service systemd) qui réactive le composant à chaque ouverture de session. Cette approche est cohérente avec les techniques observées dans d’autres compromissions de chaînes d’approvisionnement, où le code injecté s’appuie sur les API de VS Code pour écrire sur le système de fichiers sans déclencher d’alerte immédiate.
Implications pour les utilisateurs et mesures d’atténuation
Un backdoor SSH permet à un acteur malveillant d’établir une connexion réseau chiffrée vers la machine cible, contournant les contrôles d’accès locaux. La portée dépend du niveau de privilèges de l’utilisateur qui a installé l’extension ; si celui‑ci possède des droits administratifs, l’accès peut s’étendre à l’ensemble du système. Les utilisateurs doivent immédiatement désinstaller l’extension depuis le Marketplace, vérifier l’absence de fichiers suspects dans le répertoire ~/.vscode/extensions et inspecter les configurations SSH pour détecter d’éventuelles modifications. La réinitialisation des clés SSH et la désactivation de tout service ajouté sans connaissance préalable sont recommandées. Du côté des fournisseurs, la mise en place d’une signature cryptographique stricte des paquets et la vérification de l’intégrité du code source avant publication constituent des contre‑mesures essentielles pour réduire le risque de compromission future.
