™木马版 Claude Code 扩展潜入 Cursor 市场：最多 5000 名开发者受影响
10 月 29 日，Cursor 扩展市场 11 小时内提供了被篡改的 Claude Code 扩展 2.1.312 与 2.1.313，Cursor 称最多 5000 名用户收到；植入攻击者 SSH 密钥并建立持久化，卸载扩展无法清除。
发生了什么
篡改版与官方版本几乎完全相同，仅在 extension.js 文件开头嵌入了一个约 7KB 的加载器；扩展模块一加载即执行，无需用户开启对话，也未使用包管理器生命周期钩子。
加载器收集主机名、用户名、操作系统、架构、主目录、Git 邮箱与公网 IP，并扫描名称含 KEY、TOKEN、SECRET、PASS、AWS 或 GCP 的环境变量名，以明文 HTTP 发往 134.209.82.225:8099；随后向 authorized_keys 写入标注为 svc-telemetry 的攻击者 SSH 密钥，尝试开启本地 SSH 服务并建立反向隧道，约每 60 秒重试一次。
Cursor 在 10 月 29 日 20:35 UTC 撤下相关版本并将整个扩展市场下线审计，轮换密钥并重建服务后恢复；攻击者服务器已在托管商配合下下线，审计未发现其他扩展被篡改；Anthropic 表示自身系统与员工设备未受影响，篡改版并非其发布，2.1.313 从未出现在 Open-VSX、微软 Visual Studio Marketplace 或 npm 上，干净版 2.1.314 已于 10 月 30 日 01:07 UTC 发布。
关键事实
- 暴露窗口：10 月 29 日约 2:27 至 13:35 太平洋时间（09:27 至 20:35 UTC），Cursor 扩展市场提供被篡改的 anthropic.claude-code 2.1.312 与 2.1.313，覆盖 macOS 与 Windows 版
- 影响规模：Cursor 称最多 5000 名用户收到篡改版，并计划直接联系受影响用户
- 载荷行为：扩展加载即收集主机信息与环境变量名并外发，植入 svc-telemetry 密钥并建立反向隧道；持久化方式包括 macOS 的 com.apple.sysmond LaunchAgent、Windows 的 SysMon 计划任务与 Startup 脚本、Linux 的 @reboot 定时任务
- 后门未能打通：开启本地 SSH 服务需要管理员权限，且恶意代码存在缺陷，多数受影响机器上隧道未能建立；但密钥与持久化脚本仍已落盘，卸载扩展或升级到 2.1.314 均无法清除
- 处置进展：Cursor 撤下篡改版并将市场整体下线审计，轮换密钥并重建服务，攻击者服务器已下线；审计未发现其他扩展被篡改
- 未解问题：攻击者如何以 Anthropic 发布者身份在 Cursor 市场发布篡改版，Cursor 与 Anthropic 均未透露
为什么重要
篡改版借官方发布者身份与版本号分发，绕过用户对扩展市场的信任检查；受影响开发者须按清理脚本与轮换凭证处置，卸载扩展本身不够。
相关公司Anthropic
订阅 HIMIAO视界
不用注册 · 随时退订推送通知
早报出来时，手机或电脑上弹一条提醒。不用留邮箱。