Dossier cursor-npm-macos-backdoorChaîne d’approvisionnement IAMondial
Les paquets npm sw-cur et aiide-cur installent une porte dérobée dans Cursor sur macOS
Socket a découvert trois paquets npm promettant un accès à bas prix à Cursor qui volaient les identifiants Cursor, modifiaient le fichier main.js de Cursor avec du code attaquant, désactivaient la mise à jour automatique et redémarraient l'IDE pour y maintenir une exécution à distance.
ÉlevéeAttaque contre l’IAStatut: ContenuDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 9 mai 2025
- Lieu
- Mondial
- Cible
- Utilisateurs de l'éditeur IA Cursor sur macOS
- Gravité
- Élevée
- Déclenché par
- Comptes npm gtr2018 et aiide
- Type d’acteur
- Criminel
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Socket a découvert trois paquets npm promettant un accès à bas prix à Cursor qui volaient les identifiants Cursor, modifiaient le fichier main.js de Cursor avec du code attaquant, désactivaient la mise à jour automatique et redémarraient l'IDE pour y maintenir une exécution à distance.
Impact: Plus de 3 200 téléchargements ; les installations Cursor infectées exécutaient du code contrôlé par l'attaquant avec la mise à jour automatique désactivée, exposant identifiants, code source et pipelines de build
Qui l’a déclenché
Acteur: Comptes npm gtr2018 et aiide
Attribution: Publiés sous les noms d'utilisateur npm gtr2018 et aiide ; pas d'attribution plus précise
Mobile: Vol d'identifiants et exécution de code persistante dans un IDE de développement, avec un risque de compromission du code source et des chaînes CI/CD
Comment c’est arrivé
Vecteur d’attaque: Paquets npm malveillants présentés comme des outils d'accès à bas prix à Cursor ; le script d'installation collectait les identifiants, téléchargeait une charge chiffrée et écrasait des fichiers sous Cursor.app
Cause racine: Des développeurs ont fait confiance à des paquets npm non officiels pour contourner les frais d'abonnement ; fichiers de l'application IDE modifiables par l'utilisateur et absence de contrôle d'intégrité des composants modifiés
Chronologie
- sw-cur et sw-cur1 publiés par gtr2018
- aiide-cur publié par aiide
- Socket révèle la campagne, qui cumule plus de 3 200 téléchargements, et demande le retrait des paquets à npm
Réponse
Socket a demandé le retrait des paquets de npm et conseillé aux victimes de réinstaller Cursor depuis une source fiable, de renouveler leurs identifiants et d'auditer leur code à la recherche de modifications non autorisées
Statut actuel: Contenu
Sources (nouvel onglet)
- The Hacker News thehackernews.com
- SecurityWeek securityweek.com
Citer ce dossier
Les paquets npm sw-cur et aiide-cur installent une porte dérobée dans Cursor sur macOS. AI Threat Watch, dossier cursor-npm-macos-backdoor, 9 mai 2025. https://aithreat.io/fr/cases/cursor-npm-macos-backdoor/
Lien permanent: https://aithreat.io/fr/cases/cursor-npm-macos-backdoor/