ARTICLE · 1289808
Cursor插件商城里的Claude Code扩展被掉包11小时,最多5000人下载:版本号2.1.313的先查一个SSH密钥
用AI编程工具Cursor的开发者，如果10月29日前后在Cursor的插件商城里装过或更新过Claude Code扩展，现在可以花几分钟查一下电脑。
BleepingComputer 10月30日报道，Cursor的扩展商城里出现了一个被篡改的Claude Code扩展，版本号2.1.313。它在商城里挂了大约11小时，太平洋时间10月29日凌晨2点27分到下午1点35分，按IT之家的换算，是北京时间10月29日17点27分到10月30日凌晨4点35分。这段时间里，最多约5000名开发者可能下载过它。
它做了什么
发现它的是安全研究机构Phorion和OpenSourceMalware。攻击者没有改动扩展原本的功能代码，只在extension.js这个文件的开头塞进了一段恶意的JavaScript加载程序。扩展一加载，这段代码就自动运行，用户用不用Claude Code都一样。
它做了几件事：收集用户名、主机名、公网IP、Git邮箱，以及和敏感凭据有关的环境变量的名字；往电脑里加一把攻击者控制的SSH密钥，尝试打开SSH服务，再建一条反向隧道；在macOS上用LaunchAgent、在Windows上用计划任务或启动脚本把自己设成开机自动运行，大约每分钟重试一次连接；把主机信息和后门状态发到攻击者的服务器。
Cursor的声明里有两句被BleepingComputer原文引用：“a maliciously modified version of Anthropic's Claude Code extension was made available”，“The extension runs malicious code that attempts to install a persistent SSH backdoor.”意思是商城里出现了一个被恶意修改的Claude Code扩展，它会运行恶意代码，试图装一个长期驻留的SSH后门。Cursor还说，这个扩展并非Anthropic开发。
后门多数没开成
BleepingComputer分析，这个后门在很多电脑上大概率没有成功打开。
在macOS上，它检查“远程登录”是否开启时没有用管理员权限，系统返回的是权限报错，恶意代码只在看到“Off”时才去打开SSH，于是一直没打开。在Windows上，它想通过PowerShell安装并启动OpenSSH服务器，却调用了/bin/sh，普通的Windows系统里没有这个东西，安装失败。
但这只是后门没通。密钥照样加进去了，开机自启照样设上了，隧道照样在每分钟重试。更要紧的是，前面说的用户名、主机名、公网IP、Git邮箱和环境变量名，已经发出去了。报道提到它没有直接偷凭据，研究者推测攻击者原本打算拿到访问权限以后再手动收集。
怎么自查
先看版本。打开Cursor的扩展面板，找到Claude Code扩展，看版本号是否为2.1.313，以及上面那段时间里有没有装过、更新过它。
再查密钥。Cursor给受影响用户的建议是，检查电脑里有没有一把名叫“svc-telemetry”的SSH密钥。报道没有列具体文件位置，常规排查的话，SSH允许登录的公钥一般记在用户目录下.ssh文件夹里的authorized_keys文件中，每行末尾通常带着这把钥匙的名字，用文本编辑器打开搜一下svc-telemetry。
然后看开机自启。报道说它在macOS上用的是LaunchAgent，可以到用户目录下“资源库”里的LaunchAgents文件夹看有没有不认识的条目；在Windows上用的是计划任务或启动脚本，可以打开“任务计划程序”和启动文件夹看一遍。这几处是按报道写的机制给出的排查点，具体条目名字报道没有公布。
BleepingComputer公布的线索里还有一个服务器地址134.209.82[.]225，中括号是安全行业为防误点加的，管网络的同事可以拿去查一下出口日志。
查到了怎么办
Cursor说，确认受影响的，按它给出的修复说明处理。
BleepingComputer的建议更彻底：把受影响的电脑先隔离开，轮换这台电脑上能接触到的所有密钥和令牌，让已登录的会话失效，再从安全的备份重建环境。
环境变量的名字传出去了，值没有传，但攻击者知道了你有哪些密钥，比如某个云服务或代码托管平台的令牌叫什么。保险起见，这台机器上配置过的令牌都换一遍。公司电脑的，第一时间告诉安全或IT部门，别自己悄悄删掉了事，日志对他们排查有用。
Cursor这边做了什么
据报道，Cursor下架了这个扩展，临时关闭了整个扩展商城，审查其他扩展，轮换了访问密钥，还和托管服务商一起把攻击者的服务器下线，切断了反向连接和数据回传。Cursor说没有发现其他版本的扩展或官方分发渠道受影响。
攻击者是怎么用Anthropic的名义把扩展发布上去的，Cursor和Anthropic都还没有说明，截至BleepingComputer发稿，两家都没有回复提问。
这件事之后，编程工具里的扩展，尤其是能读写文件、能跑命令的那类，自动更新可以先关掉，新版本出来隔一两天，看看社区有没有动静再更新。
资料来源：BleepingComputer 10月30日报道（援引Cursor声明和安全研究机构Phorion、OpenSourceMalware的分析），IT之家10月31日的转述。
