官方插件被换11小时，5000人中招

10月29号凌晨，Cursor 扩展市场里上架了个冒牌货。名字、图标、发布者全对，连认证标识都是真的——A社官方扩展被偷梁换柱了。

这个带毒版本在市场上挂了11小时，最多5000个开发者中招。它往代码里塞了66行恶意加载器，专门收集主机名、系统版本和git邮箱。更阴的是，它还扫了你机器上最多40个含KEY、TOKEN的变量名。小偷没进屋，先把保险柜在哪记在了本子上。

最绝的是，这波攻击没被杀软拦下，纯粹因为黑客自己写错了代码。它想开SSH后门，但没拿到管理员权限，这一步直接翻车。

不过别高兴太早，主机信息和持久化脚本都已经落地了。平时看发布者、看认证的这套判断法，这次一条都没用上。

现在赶紧去终端搜一下 svc-telemetry 这个词。记住，光卸载插件没用，那个假系统服务还在后台跑着呢。