Cursor 披露其擴充功能市集中的 Anthropic.claude-code 2.1.313 惡意修改版試圖植入 SSH 後門

Cursor 於 2026 年 10 月 29 日披露，其 VS Code 擴充功能市集內的 Anthropic.claude-code 擴充功能有一個遭惡意修改的版本，涉及安全事故。公司表示，該套件並非由 Anthropic 開發，且會執行嘗試安裝持續運作的 SSH 後門的程式碼。最多有 5,000 名用戶受影響。

公司在安全公告中表示，會直接聯絡受影響用戶。惡意套件是Anthropic 的 Claude Code擴充功能 2.1.313 版本，於 2026 年 10 月 29 日太平洋時間凌晨約 2:27 至下午 1:35 期間在市集上架。

惡意版本的行為

Cursor 表示，遭修改的擴充功能會收集主機和用戶資訊，包括主機名稱、用戶名稱、作業系統、架構、家目錄路徑、環境變數名稱、工作目錄、已設定的 Git 電郵地址，以及裝置的公開 IP 位址。

擴充功能會嘗試將攻擊者控制的 SSH 金鑰加入用戶的 authorized_keys 檔案、啟用本機 SSH 服務，並開啟反向 SSH 通道。Cursor 表示，由於惡意程式碼有錯誤，除非在極不尋常的情況下以管理員權限啟動 Cursor，否則這一步會失敗。公司補充，啟用本機 SSH 服務需要管理員權限，而擴充功能在大多數 macOS 和 Windows 主機上並不具備這種權限，因此攻擊者無法透過通道登入這些裝置。即使如此，擴充功能仍會加入攻擊者的 SSH 金鑰、安裝持續運作機制，並向攻擊者傳送主機詳細資料。

Cursor 表示，為了持續運作，這個載荷會在 macOS 安裝 LaunchAgent；在 Windows 上則會建立排程工作，嘗試以 SYSTEM 身分執行，並以啟動指令碼作為後備方案；背景指令碼則每隔約 60 秒重試建立通道。擴充功能會透過 HTTP POST 請求，將主機詳細資料和後門狀態傳送至 8099 連接埠上的 /beacon 端點。

Cursor 的應對

Cursor 表示，發現惡意版本後，便立即將其從市集移除並阻止繼續散播，隨後為謹慎起見關閉整個市集。公司表示，已審查存取紀錄並確認沒有其他擴充功能遭篡改、輪換金鑰、重建市集，並重新上線。

Cursor 亦表示，已與託管攻擊者伺服器的雲端服務供應商合作，令伺服器下線；該攻擊者伺服器現已停止運作，因此反向 Shell 和主機詳細資料 POST 功能均已失效。公司表示，調查結果僅涉及已識別的套件，沒有證據顯示擴充功能的其他版本或官方發佈渠道受到影響。

補救步驟及指標

Cursor 建議在受影響時段內，曾從其市集安裝或更新至 Anthropic.claude-code 2.1.313 的用戶，執行其影響檢查，並在端點、網絡及擴充功能安裝遙測資料中搜尋已公佈的指標；隔離顯示載荷曾執行或後門曾安裝的主機；使用其補救指令碼移除未經授權的 SSH 金鑰、持續運作機制及正在執行的通道程序，同時評估是否需要重建主機。受影響用戶應使用可信任的系統，輪換可從受影響主機存取的認證資料及工作階段。

該公司警告，解除安裝擴充功能未必足夠，因為惡意載荷會放置可獨立運作並持續執行的持久化指令碼；公司亦表示，有限的環境變數收集範圍，不能排除日後透過後門存取憑證的可能。

影響檢查會搜尋攻擊者的公開金鑰（標記為 svc-telemetry）是否已附加至 SSH authorized_keys 檔案：在 macOS 上使用 grep 指令，在 Windows 上則以 PowerShell 檢查用戶的 authorized_keys 檔案，以及 C:\ProgramData\ssh 下的 administrators_authorized_keys 檔案。若找到該金鑰，即表示電腦受到影響；Cursor 會指引用戶執行適用於該平台的修復指令碼。

macOS 指令碼 remediate-macos.sh 必須由受影響的用戶執行，而非以 root 身分執行；Windows 指令碼 remediate-windows.ps1 則必須在以系統管理員權限開啟的 PowerShell 工作階段中執行。兩者都會移除惡意擴充功能、持久化機制、正在執行的通道程序，以及攻擊者的 SSH 金鑰；如有任何項目仍未移除，指令碼便會以非零狀態結束。

已公佈的入侵指標包括經修改的 darwin-arm64 和 win32-x64 VSIX 套件的 SHA-256 雜湊值，以及 macOS 或 Windows 2.1.313 擴充功能資料夾內經修改的 extension.js 檔案；該檔案含有字串 134.209.82.225 和 svc-telemetry。網絡指標包括攻擊者端點 134.209.82.225、指向 tunnel@134.209.82.225 並使用 TCP 連接埠 22 的反向 SSH 目標、同一地址連接埠 8099 上的外部信標，以及向 127.0.0.1:8099 發出的迴環信標嘗試。Cursor 亦列出未經授權的 ssh-ed25519 公開金鑰，其指紋為 SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk；反向通道金鑰指紋；macOS 和 Windows 的持久化檔案路徑，包括標籤為 com.apple.sysmond 的 LaunchAgent、名稱為 SysMon 的排程工作，以及名稱為 sysmon.cmd 的啟動資料夾後備指令碼；以及命令列指標，包括 ssh -N -R、autossh -M 0、schtasks /create /tn SysMon、systemsetup -setremotelogin on，還有一條用於安裝 OpenSSH 伺服器功能的 Add-WindowsCapability 指令。

Cursor 指出，惡意載荷會向 ifconfig.me 和 api.ipify.org 查詢公開 IP；這些都是合法服務，單是存取這些服務並不構成指標。該公司請用戶將問題發送至 security@cursor.com。