Cursor 商店曾上架遭篡改的 Claude Code 扩展：卸载也清不掉 SSH 后门，最高影响 5000 人

Cursor 用户请自查：10 月 29 日，Cursor 扩展市场在约 11 小时内（09:27 至 20:35 UTC）提供过遭篡改的 Claude Code 扩展 2.1.312 与 2.1.313，Cursor 称最多约 5000 人可能中招，11 月 2 日更新的安全分析还原了攻击手法。

篡改者没有做山寨插件，而是直接在正版扩展包里动了手脚：11 月 1 日 StepSecurity 的分析显示，恶意文件是在干净的 2.1.312 包前面加了一段 7386 字节的加载器，其余部分与干净版本逐字节相同。加载器随编辑器启动自动运行，把主机名、用户名、操作系统等信息及环境变量的名称（而非取值）发往攻击者服务器，在 authorized_keys 中植入名为 svc-telemetry 的攻击者 SSH 密钥，并尝试开启本地 SSH 服务、建立反向隧道和安装持久化机制。

危害受到两点限制：开启 SSH 服务需管理员权限，而 Cursor 一般没有，隧道大多只有在 SSH 本来就开着的机器上才能连通；攻击者服务器已下线。但密钥与持久化机制已装进系统，卸载扩展清不掉它们，主机信息也已外发。

受影响者应升级到 2.1.314 或更高版本，运行 Cursor 官方清理脚本，检查 authorized_keys 是否含 svc-telemetry，并轮换可能暴露的凭证。VS Code 官方市场与 Open VSX 的版本未受影响，Anthropic 也表示自身系统并未遭到入侵。这次事件攻击的不是模型漏洞，而是开发者对扩展市场的信任——装插件前多核对一次来源与版本，正在变得和审查代码一样重要。

来源：ThreatDefence