Cursor 公告 VS Code 擴展市場出現遭篡改的 Anthropic.claude-code 2.1.313

今天，我們發現了一起安全事件，涉及 Cursor VS Code 擴展市場中的一個特定擴展包：Anthropic.claude-code 2.1.313 版本。該惡意版本擴展並非由 Anthropic 開發。受影響用戶最多 5,000 名，我們將直接與他們聯繫。

事件經過

今天太平洋時間凌晨約 2:27 至下午 1:35 期間，Cursor VS Code 擴展市場中上架了一個遭惡意篡改的 Anthropic Claude Code 擴展版本。該擴展會運行惡意代碼，試圖植入一個長期生效的 SSH 後門。具體而言，它會：

收集主機和用戶信息：主機名、用戶名、操作系統、架構、主目錄路徑、環境變量名稱、工作目錄、已配置的 Git 郵箱以及公網 IP。
嘗試將攻擊者控制的 SSH 鍵添加到 authorized_keys，啓用本地 SSH 服務，並建立反向 SSH 隧道。由於惡意代碼存在錯誤，除非 Cursor 是以管理員權限啓動的 (這種情況極為罕見) ，否則這一步會失敗。
嘗試通過 LaunchAgent (macOS) 或計劃任務 (Windows，該任務會嘗試以 SYSTEM 身份運行，並以啓動腳本作為回退) 使反向 SSH 隧道長期生效。後台腳本大約每 60 秒重試一次建立隧道。
通過 HTTP POST 將主機詳情和後門狀態上報至 8099 端口上的 /beacon。

注意：攻擊者的服務器已停止運行。

我們已與託管該服務器的雲服務提供商合作將其下線，因此反向 shell 和主機詳情上報均已失效。
上述發現僅涉及已識別的這個軟件包。目前沒有證據表明該擴展的其他版本或官方分發版本受到影響。
此外，開啓本地 SSH 服務需要管理員權限，而在大多數 macOS 和 Windows 主機上，該惡意擴展並不具備此權限。在這些主機上，該步驟會失敗，攻擊者也無法通過隧道登錄。但該擴展仍會添加攻擊者的 SSH 鍵、安裝持久化機制，並將主機詳情發送給攻擊者。因此，無論如何都請按照下方的修復步驟進行處理。

我們採取的措施

檢測到惡意版本後，我們立即將其從市場中移除，並阻止其繼續分發。出於審慎考慮，我們隨後全面關閉了 VSCode Marketplace。
我們對訪問記錄進行了審計，確認沒有其他擴展遭到篡改。
我們輪換了密鑰，重新構建了市場，並使其重新上線
我們與託管提供商合作，將惡意服務器下線，並通過阻斷與該服務器的連接來瓦解此次攻擊。

您應該採取的措施

如果您在 2026 年 10 月 29 日太平洋時間凌晨 2:27 至下午 1:35 之間，從 Cursor VS Code 擴展市場安裝了 Anthropic.claude-code 2.1.313 或更新到該版本：

運行下方的檢查，驗證您是否受到影響。
在端點、網絡和擴展安裝遙測數據中搜索下列入侵指標。
隔離存在有效載荷執行或後門安裝跡象的主機。
使用下方的修復腳本移除未經授權的 SSH 鍵、持久化機制以及正在運行的隧道進程，並評估是否需要重建該主機。僅卸載擴展可能不夠，因為該有效載荷會釋放獨立的持久化腳本，並在卸載後繼續運行。
在受信任的系統上，輪換受影響主機可訪問的憑證和會話。雖然該有效載荷收集的環境變量有限，但仍不能排除攻擊者之後通過後門訪問憑證的可能。

檢查你是否受到影響

該惡意擴展會將攻擊者的公鍵 (標籤為 svc-telemetry) 追加到你的 SSH 授權鍵 (authorized keys) 中。檢查方法如下：

在 macOS 上，運行：

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

在 Windows 上，請在 PowerShell 中運行：

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

如果找到該鍵，説明你的機器已受影響。請按照上文第 3 至 5 步操作，並運行下方對應你所用平台的修復腳本。

修復受影響的機器

這些腳本會移除惡意擴展、持久化機制、正在運行的隧道進程以及攻擊者的 SSH 鍵。如果仍有任何殘留，腳本將以 non-zero 狀態退出。

在 macOS 上，請下載 remediate-macos.sh，然後在保存該腳本的文件夾中，以受影響用戶 (而非 root) 的身份運行：

bash remediate-macos.sh

在 Windows 上，請下載 remediate-windows.ps1，然後通過 以管理員身份運行 打開 PowerShell，並在該文件所保存的文件夾中運行它：

powershell -ExecutionPolicy Bypass -File .\remediate-windows.ps1

入侵指標

軟件包

被篡改的 VSIX SHA-256 (darwin-arm64) ：432ccdee3801f99e52b8fe31f69ea9870118e96ea7ef9ecabed1479621b5ab62 (MD5 da5469c4221775e9fe2e413e59ca7fd9)
被篡改的 VSIX SHA-256 (win32-x64) ：3de1722901165769893bef57c72594e9a54459faa23f3091b136b79966edd081 (MD5 bd3b71ddf3d0cc3af76249afd2c0eda1)
被篡改的代碼：anthropic.claude-code-2.1.313-darwin-arm64 (macOS) 或 anthropic.claude-code-2.1.313-win32-x64 (Windows) 擴展文件夾中的 extension.js 包含 134[.]209[.]82[.]225 和 svc-telemetry

網絡

攻擊者端點：134[.]209[.]82[.]225
反向 SSH：tunnel@134[.]209[.]82[.]225，TCP 22
外部信標：hxxp://134[.]209[.]82[.]225:8099/beacon (HTTP POST)
本地信標嘗試：127[.]0[.]0[.]1:8099/beacon (HTTP POST，環回)
向 ifconfig[.]me / api[.]ipify[.]org 查詢公網 IP：均為合法服務，僅有訪問行為本身不構成入侵指標

SSH

未經授權的公鍵：ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDdvylCEJ/k2TpezcTfedrkHyFSK9IZ3vmP6vhY4Ss0P svc-telemetry
未經授權的鍵指紋：SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk
反向隧道鍵指紋：SHA256:KOAU57+ZG6u3MG4WwzPzPX2O5YEe9qdOC1Bl+6MVyDQ
鍵註釋：svc-telemetry

文件與持久化

macOS：~/.ssh/authorized_keys 中存在未經授權的鍵；~/.config/.smt、~/.config/.smtk；$TMPDIR/.stk_<10 hex>；~/Library/LaunchAgents/com.apple.sysmond.plist (標籤為 com.apple.sysmond)
Windows：%USERPROFILE%\.ssh\authorized_keys、%USERPROFILE%\.config\smt.cmd、%USERPROFILE%\.config\smtk、%TEMP%\.stk_<10 hex>；計劃任務 SysMon (會嘗試以 SYSTEM 身份運行) ；回退路徑 %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\sysmon.cmd

進程 / 命令行

ssh -N -R '*:0:localhost:22'、autossh -M 0
SSH 選項：StrictHostKeyChecking=no、UserKnownHostsFile=/dev/null、ServerAliveInterval=30、ServerAliveCountMax=3、ExitOnForwardFailure=yes、IdentitiesOnly=yes
schtasks /create /tn SysMon
systemsetup -setremotelogin on
Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0

如有其他疑問，請聯繫 security@cursor.com。