自由翻滚的风铃草
@nanting
Claude Code 的官方扩展在 Cursor 市场被投毒，攻击者挂官方身份发了个带 SSH 后门的更新。UPDATE 确认了。
细节看下来比我预想的还克制，也还吓人。恶意版本号 v2.1.313，用的扩展 ID 就是正版的 anthropic.claude-code，主 JavaScript 包前面塞了 66 行 loader。
装了这版的机器，loader 会往 ~/.ssh/authorized_keys 里加一把攻击者密钥。名字起得很老实，叫 svc-telemetry。然后尝试打开本地 SSH、建反向隧道，还在系统里装计划任务、crontab、LaunchAgent 这些持久化。最后把主机侦察数据发到 134.209.82.225 的 8099 端口。
我一开始以为这就是个典型的偷凭证。不舒服的地方在数据清单里。它收公网 IP、主机名、用户名、系统和架构、家目录、git 全局邮箱，还有环境变量名里带 KEY、TOKEN、SECRET、PASS、AWS、GCP 的，最多四十个。变量值没进第一包，可名字本身就招供了你用哪家云、哪套 CI。更要命的是，SSH 一旦通了，对面直接进你账号翻。
好消息也有。大多数机器开 SSH 要管理员权限，这扩展没有。隧道那步就断了。密钥和持久化照样留痕，处理办法得按官方给的来：隔离机器、删掉未授权密钥和持久化、轮换凭证。Cursor 把包撤了、轮了密钥、重建市场，还跟云服务商把那台服务器下线。
反向 shell 已经不通。Anthropic 声称自家系统没被攻破，恶意版本在 Cursor 市场挂了差不多十二小时。官方渠道的 2.1.314 不受影响，Socket 也核过 Open VSX 和 npm 没沾上。
Cursor 给的时间窗是 10 月 29 日装过这版的人，最多五千。我最在意自动更新这件事。Anthropic 那边有句话挺直白：Claude Code 开了自动更新的，都可能吃到这口毒。thehackernews.com/2026/10/offici…
