Cursor 插件市场官方 Claude Code 扩展被投毒：注入 SSH 后门，最多 5000 人受影响

事件经过：官方扩展被换成带后门的版本

10 月 29 日，Cursor 的 VS Code 插件市场里，一个以 Anthropic 官方发布者账号上架的 Claude Code 扩展被人替换成了恶意构建。受影响的版本号为 2.1.313，它在合法扩展代码之前被插入了一段约 66 行的加载器。Cursor 在官方安全公告中确认：这个恶意版本并非 Anthropic 开发，事件可追溯到 Cursor 插件市场自身遭篡改；为清理恶意软件，Cursor 一度整体关停了 VSCode 市场，审计后确认没有其他扩展被篡改，再重建市场并恢复上线。

恶意版本从当天太平洋时间约 02:27 上架，到 13:35 下架，暴露窗口约 11 小时。任何把 Claude Code 设为自动更新的用户，都可能在这段时间里拉到这份带毒构建。Microsoft Security 研究确认，事件仅局限于 Cursor 市场，未影响微软官方 Visual Studio Marketplace 与 npm 分发渠道。

事件窗口约 11 小时、至多 5000 名开发者受影响；官方下架并切断 C2 后风险中止，但已落地的 SSH 密钥与持久化脚本仍需手工清除，仅更新扩展无法移除后门。

后门做了什么：塞 SSH 密钥、反连、自我持久化

加载器在 VS Code 启动、webview 打开时激活，行为链条很完整：它先收集主机与用户信息（主机名、用户名、操作系统、架构、家目录、工作目录、Git 邮箱、公网 IP，以及名称里含 KEY/TOKEN/SECRET/PASS/AWS/GCP 的环境变量），随后向受害者的 ~/.ssh/authorized_keys 追加一把攻击者控制的 Ed25519 公钥，标签写成「svc-telemetry」以显得无害。

接着它试图开启本地 SSH 服务、建立一条到攻击者服务器（134.209.82.225:8099）的反向隧道，并通过 LaunchAgent（macOS）、计划任务或 crontab（Windows / Linux）做持久化，后台脚本约每 60 秒重试一次连接。主机侦察数据通过未加密的 HTTP 请求发往该 C2。安全研究人员 Paul McCarty 指出，环境变量的「值」并未放进首发信标，但变量名足以暴露配置了哪些云厂商、CI 系统与凭据类型。

影响范围与处置：约 11 小时、至多 5000 人

Cursor 公告称受影响的用户至多 5000 人，并会直接联系受影响者。一个关键限制是：开启本地 SSH 服务需要管理员权限，而这份恶意扩展在大多数 macOS 与 Windows 主机上并不具备该权限，因此那一步往往失败，攻击者无法真正通过隧道登录——但扩展仍然写入了 SSH 密钥、安装了持久化、并把主机信息发了出去。Cursor 与托管方合作切断了攻击者服务器，反向 shell 与信标随之失效。

Anthropic 确认其内部系统未被攻破、也并非恶意包的开发者，并已向 Open VSX 与微软市场发布 2.1.314 替换版本。值得注意的是，这一事件发生在 OVHcloud 官方 CLI 被 GlassWorm 行动植入窃密木马的约一周之后，两次都指向「官方开发者分发渠道」成为新的攻击面。

关键提醒：更新扩展并不等于清除后门

安全研究者 Kevin Beaumont 与投资级 EDR 厂商 Phorion 的 advisory 都强调：Anthropic 隔夜发布的替换版本虽然也会自动更新，但并不会移除早先已落地的后门或侦察活动——也就是说，反向 SSH 连接仍会向外呼叫，每一台受影响的 VS Code 与 Cursor 主机都需要手工 remediation。具体步骤包括：检查并删除 authorized_keys 里的 svc-telemetry 密钥、清除 LaunchAgent / 计划任务 / crontab 等持久化、在可信系统上轮换可能被接触的凭据与会话。仅靠卸载或更新扩展，可能留下仍在运行的独立持久化脚本。

更大的信号：AI 编码工具的供应链正在成为靶子

当编码助手成为开发者的默认工作环境，它们的分发渠道、自动更新与插件市场也就成了高价值目标。这次事件的特殊之处在于「官方账号 + 自动化更新」的组合：攻击者不需要逐个钓鱼，只要篡改市场里那份以可信发布者身份出现的构建，就能在数小时内触达数千名开发者主机。对使用 Claude Code、以及一切以扩展形式分发的 AI 编码工具的团队来说，启示很直接——把插件市场当成不可信来源：固定版本、核对哈希、在隔离环境里审查更新，并把凭据与 SSH 配置纳入变更监测。

从更宽的视角看，这起事件与近一个月里多起 AI 工具链投毒（编码助手包名抢注、SDK 供应链植入）指向同一结论：AI 智能体默认信任「它写下的与碰过的」，治理重点要从「它说什么」扩展到「它做了什么、它从哪来」。当工具能改写代码、能触碰凭据，分发渠道的安全性就不再是后台运维细节，而是产品安全的一等公民。

信息来源

Cursor Claude Code 供应链攻击 SSH 后门开发者安全插件市场