官方Claude Code扩展被投毒 植入SSH后门

时间：2026年10月29日（太平洋时间凌晨2:27至下午1:35），被篡改的 Anthropic.claude-code 扩展 2.1.312 与 2.1.313 在 Cursor 的 VS Code 扩展市场对外分发，在架约11小时；10月30日 Cursor 发布官方安全公告，安全厂商 Phorion 同日公开逆向分析。 地点：线上 Cursor VS Code 扩展市场；受影响的是全球使用 Cursor 编辑器的开发者本地开发机，Windows 与 macOS 版本为主。 人物：Cursor 团队（发布官方安全公告）、Phorion 安全研究员 Calum Hall（发布恶意载荷逆向分析）、Anthropic（官方 Claude Code 扩展开发者，其扩展是恶意版本仿冒的对象）。 事件详情：Cursor 官方公告确认，10月29日约凌晨2:27（太平洋时间）起，其 VS Code 扩展市场出现针对 Windows 与 macOS 的 Anthropic.claude-code 2.1.312 和 2.1.313 恶意版本，约下午1:35 被下架。恶意版本并非 Anthropic 开发。载荷在扩展的 extension.js 前置注入一段立即执行函数，扩展加载即运行，无需用户触发。它收集并回传主机名、用户名、操作系统、架构、主目录路径、环境变量名、工作目录、Git 配置邮箱与公网 IP，并把攻击者的 Ed25519 公钥（注释 svc-telemetry）写入 ~/.ssh/authorized_keys，随后尝试开启本机 SSH 服务并建立反向 SSH 隧道。持久化方面，macOS 写入 ~/Library/LaunchAgents/com.apple.sysmond.plist，Linux 写入 ~/.config/.smt 与用户 crontab 的 @reboot 条目，Windows 尝试创建名为 SysMon 的计划任务（以 SYSTEM 身份运行），失败则回落到启动目录脚本，后台脚本约每60秒重试一次隧道。Phorion 的逆向显示，隧道以 ssh -N -R 远程端口转发方式连到 134.209.82.225，信标走 HTTP POST 的 /beacon 接口，且只取环境变量名而非值，最多40个匹配 KEY、TOKEN、SECRET、PASS、AWS、GCP 的变量名。Cursor 称已与合作托管方把攻击者服务器下线，并下架恶意版本、关停整个扩展市场、轮换密钥后重建上线。 背景：AI 编程工具的官方 VS Code 扩展，是 Claude Code 这类 Agent 能力进入本地开发机的入口，而扩展以 IDE 与用户权限运行，装上即可读取本地源码、配置与凭据，攻破点因此从模型能力转向了开发者环境。Cursor 的扩展市场同时承载官方与第三方工具的安装，安全边界过去主要建立在官方身份与签名之上，这正是本次被利用的环节；多家分析把这次事件定性为扩展市场的信任缺口。 影响：Cursor 的公告没有给出确切的下载量，第三方报道援引 Cursor 的说法称受影响用户最多约5000人。由于攻击者公钥已写入 authorized_keys、持久化脚本独立于扩展存在，Cursor 明确提醒卸载扩展可能并不足够，用户需用官方脚本清除持久化与隧道进程、删除未授权公钥，并轮换受影响主机上可访问的凭据与会话。与此同时，开启 SSH 服务需要管理员权限，恶意扩展在多数 macOS 与 Windows 机器上并没有该权限，登录通道大多未能打通；但公钥写入、持久化安装和主机信息回传已经发生，攻击者服务器也已被托管方下线。 总结：这次事件的要害不在于 SSH 后门本身有多高明，而在于官方身份的分发渠道被替换成了被篡改的构建包，约11小时的窗口足够让自动更新把恶意版本推给开发者。Phorion 的分析显示，载荷并不依赖提权，落地即写入公钥、装好持久化、带走主机情报，属于典型的低门槛高收益供应链投毒。对使用 Cursor 的团队来说，当前最要紧的动作是按官方指引自查 authorized_keys 里是否存在 svc-telemetry 注释的公钥，清理持久化项并轮换凭据。对行业来说，扩展市场该由谁担责、官方扩展如何做构建可复现校验，仍是没有现成答案的问题。 常见问题： 问：装过这个扩展怎么自查？ 答：检查 ~/.ssh/authorized_keys 里是否有注释 svc-telemetry 的公钥，Windows 按 Cursor 公告给的 PowerShell 命令查同名密钥，命中即按官方脚本清理。 问：卸载扩展就安全了吗？ 答：不一定。官方说明卸载可能不足够，载荷会另投持久化脚本，需一并清除 SSH 公钥、持久化项与隧道进程，并轮换受影响主机上的凭据。 参考来源： Cursor 官方安全公告：恶意版本 Anthropic.claude-code 2.1.312 与 2.1.313 的处置说明与入侵指标 https://cursor.com/blog/claude-code-extension-security-notice Phorion 安全通告：官方 Claude Code 扩展 SSH 后门的完整逆向分析与清理步骤 https://phorion.io/blog/offical-claude-code-vsx-compromise/ Microsoft Security Blog：对恶意 Claude Code 品牌扩展及其持久化 SSH 后门的分析 https://www.microsoft.com/en-us/security/blog/2026/10/30/inside-malicious-claude-code-branded-cursor-extension-persistent-ssh-backdoor/ Security Arsenal：Cursor 扩展市场投毒的溯源与自查处置指南 https://securityarsenal.com/blog/malicious-claude-code-extension-in-cursor-marketplace-installs-ssh-backdoor-detection-and-remediation-guide FreeBuf：Cursor 扩展市场遭入侵，官方 Claude Code VS Code 扩展被篡改植入 SSH 后门 https://www.freebuf.com/news/509864.html AICoder：Cursor 扩展市场出现被篡改的 Claude Code 2.1.313 扩展，最多 5000 名用户受影响 https://aicoder.com/zh/news/news-20261030-cursor-marketplace-malicious-claude-code-extension-2-1-313-ssh-backdoor-5000-users Cursor Claude Code 扩展恶意软件暴露的扩展市场信任缺口 https://www.remio.ai/post/cursor-claude-code-extension-malware-exposes-a-marketplace-trust-gap