关于Cursor VS Code扩展市场中恶意Claude Code扩展的风险提示

安天集团

2026年11月1日 23:53
河北

去阅读

点击上方\"蓝字\"

关注我们吧！

本报告由安天CERT工程师结合安天（Antiy）AVL Code与澜砥N2.6威胁检测分析大模型辅助生成，首发于“安天垂直响应平台”公众号。

概述

2026年10月29日，Cursor公司披露了一起VS Code扩展市场的安全事件：其扩展市场中出现了被恶意篡改的Anthropic Claude Code 扩展版本，即 Anthropic.claude-code 2.1.312 与 2.1.313（面向 Windows 与 macOS 平台）。该恶意扩展在安装后运行恶意代码，试图在受感染主机上植入长期生效的SSH 后门。事件发生时间窗口为2026年10月29日（北京时间17:27 至次日04:35，即太平洋时间凌晨约2:27 至下午1:35）。此事件不影响从 cursor.com/marketplace 下载的其他扩展，也不涉及 Cursor 的其他产品与服务。 风险描述 本次事件属于软件供应链投毒类风险。攻击者在扩展市场分发链路中植入恶意软件包，以官方扩展的名义诱导开发者安装，从而在开发人员、运维人员的工作终端上植入后门。该恶意扩展的核心行为包括： （1）收集并上报主机与用户信息：包括主机名、用户名、操作系统、架构、主目录路径、环境变量名称、工作目录、已配置的Git邮箱以及公网IP； （2）尝试植入SSH后门：将攻击者控制的SSH公钥写入 authorized\_keys，启用本地SSH服务，并建立反向SSH隧道。由于恶意代码存在缺陷，除非 Cursor 以管理员权限启动（极为罕见），此步骤通常会失败； （3）实现持久化：通过 LaunchAgent（macOS）或计划任务（Windows，任务尝试以 SYSTEM 身份运行，并以启动脚本作为回退）使反向SSH隧道长期生效，后台脚本大约每60秒重试一次建立隧道。 需要说明的是，攻击者控制的服务器目前已停止运行，Cursor 已与托管该服务器的云服务提供商合作将其下线，因此反向shell 与主机详情上报均已失效。但恶意扩展已添加攻击者SSH键、安装持久化机制，并已将主机详情发送给攻击者，因此即使后门服务器已下线，受影响主机仍应按照处置建议进行处理。 该事件的风险主要体现于：一是开发者工作台一旦被植入后门，可能被用于窃取源码、令牌与凭证，进而威胁上游代码仓库与构建管线；二是恶意扩展释放独立的持久化脚本，仅卸载扩展无法清除后门，必须人工清除持久化机制与SSH键。 受影响范围 受影响对象为在2026年10月29日（北京时间17:27 至次日04:35，即太平洋时间凌晨约2:27 至下午1:35）期间，于 macOS 或 Windows 平台从 Cursor VS Code 扩展市场安装或更新到 Anthropic.claude-code 2.1.312 或 2.1.313 版本的开发环境。 未安装上述版本、或从其他官方渠道获取扩展的用户不受影响。 由于该恶意扩展可能将持久化脚本与SSH键留存在主机上，即便事件后市场已恢复正常，受影响主机仍应视为可能存在恶意，需按下文处置。 排查与处置建议 建议参考IoCs及以下操作对疑似被感染主机进行排查与处置： （1）自查是否受影响 检查扩展版本是否为 2.1.312 或 2.1.313，并检查 SSH 授权文件是否存在攻击者公钥（注释为 svc-telemetry）。 macOS 检查命令： grep -qs svc-telemetry ~/.ssh/authorized\keys && echo \"svc-telemetry key found\" || echo \"No key found; machine not impacted\" Windows（PowerShell）检查命令： $files = \"$HOME\.ssh\authorized\_keys\", \"C:\ProgramData\ssh\administrators\_authorized\_keys\" | Where-Object { Test-Path $\ } if ($files -and (Select-String svc-telemetry $files)) { \"svc-telemetry key found\" } else { \"No key found; machine not impacted\" } 若上述命令返回 \"svc-telemetry key found\"，说明主机已受影响，应继续执行后续处置。 （2）在端点、网络与扩展安装遥测数据中搜索本文给出的入侵指标（IOC）。 （3）隔离存在恶意代码执行或后门安装迹象的主机，断开其对外网络。 （4）清除恶意扩展、持久化机制、正在运行的隧道进程以及攻击者SSH键。仅卸载扩展不够，因为恶意载荷会释放独立的持久化脚本，并在卸载后继续运行。可运行 Cursor 官方修复脚本：macOS 使用 remediate-macos.sh，Windows 使用 remediate-windows.ps1（以管理员身份运行）。若修复后仍有残留，脚本会以非零状态退出。 （5）在受信任的系统上，轮换受影响主机可访问的凭证与会话。尽管恶意载荷收集的环境变量有限，仍不能排除攻击者通过后门访问凭证的可能。 （6）安装使用安天智甲终端防御系统： 安天智甲依托主动防御能力，可对本次事件相关恶意文件进行落地感知告警。  图2-1 安天智甲检出恶意扩展载荷 附录：*入侵指标（IoCs）* 以下入侵指标来源于 Cursor 官方公告，用于端点、网络与日志检索。 （1）被篡改的扩展软件包哈希 版本 2.1.312： darwin-arm64  SHA-256: fcbb327e38e61c4fec795e0d0591f52cd1014b813d20a5912104953c3a17c364   MD5: e0d64d53e802a0217ba6f0e656ed2f20 win32-x64     SHA-256: 3de1722901165769893bef57c72594e9a54459faa23f3091b136b79966edd081   MD5: bd3b71ddf3d0cc3af76249afd2c0eda1 版本 2.1.313： darwin-arm64  SHA-256: 80402fdcad8799285fd93044976973ca000da7995fb93363f819bb8e4f84ee6c   MD5: 34e491161e056c9b899a79b602ac73b9 win32-x64    SHA-256: 6786ec90cbd45949695bd7805c9fbb26cfc91bc5fc897de0183d9bcb9cb21731   MD5: 7838a3be2ca0ff08c1bdb160ef516d39 （2）恶意载荷 SHA-256: ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15   MD5: f49bcd657ef1e626e85ce858958c1769 （3）网络端点 攻击者端点:     134[.]209[.]82[.]225 反向 SSH:       tunnel@134[.]209[.]82[.]225  TCP 22 外部信标:       hxxp://134[.]209[.]82[.]225:8099/beacon  (HTTP POST) 本地信标尝试:   127[.]0[.]0[.]1:8099/beacon  (HTTP POST, 环回) （4）SSH 公钥与指纹 未授权的公钥: ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDdvylCEJ/k2TpezcTfedrkHyFSK9IZ3vmP6vhY4Ss0P  svc-telemetry 未经授权的键指纹: SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk 反向隧道的键指纹: SHA256:KOAU57+ZG6u3MG4WwzPzPX2O5YEe9qdOC1Bl+6MVyDQ （5）文件与持久化 macOS:   ~/.ssh/authorized\keys 中未授权键; ~/.config/.smt、~/.config/.smtk;          $TMPDIR/.stk\<10hex>; ~/Library/LaunchAgents/com.apple.sysmond.plist Linux:   ~/.ssh/authorized\keys; ~/.config/.smt、~/.config/.smtk; /tmp/.stk\<10hex>;          cron @reboot /bin/sh \"/.config/.smt\" Windows: %USERPROFILE%\.ssh\authorized\keys、%USERPROFILE%\.config\smt.cmd、          %USERPROFILE%\.config\smtk、%TEMP%\.stk\<10hex>; 计划任务 SysMon;          回退 %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\sysmon.cmd （6）进程与命令行 ssh -N -R '\*:0:localhost:22'、autossh -M 0 schtasks /create /tn SysMon、systemsetup -setremotelogin on Add-WindowsCapability -Online -Name OpenSSH.Server ~~~~0.0.1.0 注意：向 ifconfig[.]me / api[.]ipify[.]org 查询公网 IP 均属合法服务，仅有访问行为本身不构成入侵指标。 参考资料 [1] Cursor 安全公告：Cursor VS Code 扩展市场中发现恶意版本的 Anthropic.claude-code（2.1.312 和 2.1.313） https://cursor.com/cn/blog/claude-code-extension-security-notice

往期推荐:

关于Cursor VS Code扩展市场中恶意Claude Code扩展的风险提示

安天捕获一起针对中国开源AI模型代码仓库的潜伏式污染攻击事件

Axios遭遇“指令闪击”——npm仓库OrDer木马投毒事件分析

面向开发者工具供应链的沙暴式投毒——TeamPCP组织的样本、技术与战术分析（上篇）

用AVL Code验证“Claude Code内置隐藏机制，专门检测中国用户”的传言