Cursor 披露 Marketplace 中恶意 Claude Code 扩展试图植入 SSH 后门

Cursor 于 2026 年 10 月 29 日披露了一起安全事件，涉及其 VS Code 扩展 Marketplace 中被恶意篡改的 Anthropic.claude-code 扩展版本。该公司表示，该包并非由 Anthropic 开发，其运行的代码试图安装持久化 SSH 后门。最多有 5,000 名用户受到影响。

在一份安全公告中，该公司表示将直接联系受影响用户。该恶意包为 Anthropic 的 Claude Code 扩展 2.1.313 版本，于 2026 年 10 月 29 日太平洋时间约凌晨 2:27 至下午 1:35 期间在 Marketplace 上架。

恶意版本的行为方式

Cursor 表示，被篡改的扩展会收集主机和用户信息：主机名、用户名、操作系统、架构、主目录路径、环境变量名称、工作目录、配置的 Git 电子邮件地址以及机器的公网 IP 地址。

该扩展试图将攻击者控制的 SSH 密钥添加到用户的 authorized_keys 文件中，启用本地 SSH 服务，并打开反向 SSH 隧道。Cursor 表示，由于恶意代码中存在错误，除非在 Cursor 以管理员权限启动这种极不寻常的情况下，否则该步骤会失败。该公司补充说，启用本地 SSH 服务需要管理员权限，而该扩展在大多数 macOS 和 Windows 主机上没有这些权限，因此在这些机器上攻击者无法通过隧道登录。即便如此，该扩展仍会添加攻击者的 SSH 密钥、安装持久化机制，并将主机详细信息发送给攻击者。

为实现持久化，Cursor 表示该载荷会在 macOS 上安装 LaunchAgent，或在 Windows 上安装一个计划任务，该任务尝试以 SYSTEM 身份运行，并以启动脚本作为回退方案，同时后台脚本大约每 60 秒重试一次隧道。该扩展通过向端口 8099 上的 /beacon 端点发送 HTTP POST 请求来报告主机详细信息和后门状态。

Cursor 的应对措施

Cursor 表示，其在检测到后立即将该恶意版本从 Marketplace 下架并阻止进一步分发，随后作为预防措施关停了整个 Marketplace。该公司表示，其审计了访问权限并确认没有其他扩展被篡改，轮换了密钥，重建了 Marketplace，并使其重新上线。

Cursor 还表示，其与托管攻击者服务器的云服务提供商合作将其下线，攻击者服务器已不再运作，导致反向 shell 和主机详细信息 POST 均无法使用。该公司表示，其调查结果仅涉及已识别的该包，没有证据表明该扩展的其他版本或官方分发版本受到影响。

修复步骤与指标

Cursor 建议任何在暴露窗口期间从其 Marketplace 安装或更新到 Anthropic.claude-code 2.1.313 的人员运行其影响检查，在端点、网络和扩展安装遥测中搜索已公布的指标，隔离显示有载荷执行或后门安装证据的主机，并使用其修复脚本移除未经授权的 SSH 密钥、持久化机制和正在运行的隧道进程，同时评估是否应重建该主机。受影响用户应在可信系统上轮换可从受影响主机访问的凭据和会话。

该公司警告称，卸载该扩展可能并不足够，因为载荷会释放持续运行的独立持久化脚本，并表示有限的环境变量收集并不能排除日后通过后门访问凭据的可能性。

影响检查会查找附加到 SSH authorized_keys 文件中的攻击者公钥（标记为 svc-telemetry）：在 macOS 上使用 grep 命令，在 Windows 上使用 PowerShell 检查，覆盖用户的 authorized_keys 文件以及 C:\ProgramData\ssh 下的 administrators_authorized_keys 文件。如果找到该密钥，则机器受到影响，此时 Cursor 会指引用户使用对应平台的修复脚本。

macOS 脚本 remediate-macos.sh 必须以受影响用户而非 root 身份运行，Windows 脚本 remediate-windows.ps1 必须从以管理员权限打开的 PowerShell 会话中运行。两者都会移除恶意扩展、持久化机制、正在运行的隧道进程和攻击者的 SSH 密钥，如果有任何残留，它们会以非零状态退出。

已公布的入侵指标包括被修改的 darwin-arm64 和 win32-x64 VSIX 包的 SHA-256 哈希，以及 macOS 或 Windows 2.1.313 扩展文件夹中被修改的 extension.js 文件，其中包含字符串 134.209.82.225 和 svc-telemetry。网络指标包括攻击者端点 134.209.82.225、TCP 端口 22 上 tunnel@134.209.82.225 的反向 SSH 目标、同一地址端口 8099 上的外部信标，以及 127.0.0.1:8099 上的回环信标尝试。Cursor 还列出了未经授权的 ssh-ed25519 公钥及其指纹 SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk、反向隧道密钥指纹、macOS 和 Windows 的持久化文件路径——包括标记为 com.apple.sysmond 的 LaunchAgent、名为 SysMon 的计划任务以及名为 sysmon.cmd 的启动文件夹回退脚本——以及命令行指标，包括 ssh -N -R、autossh -M 0、schtasks /create /tn SysMon、systemsetup -setremotelogin on，以及安装 OpenSSH 服务器功能的 Add-WindowsCapability 命令。

Cursor 指出，该载荷的公网 IP 查询会发往 ifconfig.me 和 api.ipify.org，这些是合法服务，仅访问它们并不构成指标。该公司表示如有疑问请联系 security@cursor.com。