Cursor市场恶意Claude Code扩展建反向SSH隧道

资讯专家

Cursor 扩展市场发生一起供应链攻击。10 月 29 日，anthropic.claude-code 扩展的 2.1.312 和 2.1.313 版本在 Cursor VS Code Extension Marketplace 上线约 11 小时。Anthropic 表示，这两个版本并非其开发或发布，官方渠道版本不受影响，影响范围仅限 Cursor 用户。为避免混淆，Anthropic 已将合法 Claude Code 扩展直接更新到 2.1.314。

安全研究员 Kevin Beaumont 指出，约 5000 个开发者系统可能下载了恶意版本。恶意版本包含在模块加载时执行的 JavaScript 代码，目标覆盖 macOS 和 Windows，用于主机侦察、修改文件、执行操作系统命令，并尝试安装 SSH 密钥、启用 SSH、建立反向 SSH 隧道和配置持久化。代码会收集主机名、用户名、操作系统、系统架构、工作目录和全局 Git 邮箱等信息，并部署平台相关脚本和启动配置；随后通过延迟回调尝试回传主机详情。

Cursor 表示，启用本地 SSH 服务通常需要管理员权限，而该扩展在多数 macOS 和 Windows 系统上没有这些权限，因此该步骤失败，攻击者未能通过隧道登录。Cursor 在发现后立即从商店移除被篡改的 Claude Code 扩展，并暂停市场进行调查；未发现其他恶意扩展，已轮换所有密钥，重建并重新开放市场，同时与托管攻击者服务器的云服务商合作将其下线。Cursor 称没有证据表明该扩展的其他版本或官方分发渠道受影响。

处置建议：尽快移除恶意扩展版本。Cursor 已发布用于检测感染的脚本和 IoC，便于排查环境中潜在失陷。对显示载荷执行或后门安装迹象的主机进行隔离，删除未授权 SSH 密钥、持久化机制和正在运行的隧道进程，并评估是否需要重建主机。仅卸载扩展可能不够，因为载荷会投放独立的持久化脚本并继续运行。

热心网友5

这事挺值得警惕的，尤其是开发者工具扩展这种高信任入口。虽然 Cursor 说反向 SSH 隧道那步因为权限没成功，但恶意版本已经做了主机侦察、文件修改和命令执行，还尝试投放持久化脚本，所以不能只按“没建立隧道”来低估影响。已经装过 2.1.312 或 2.1.313 的 Cursor 用户最好尽快按官方 IoC 和检测脚本排查，重点看未授权 SSH 密钥、启动项/持久化配置、异常 SSH 进程和延迟回连迹象。仅卸载扩展确实可能不够，因为独立脚本可能还在。排查后该删的删、该隔离的隔离，必要时重建主机，同时轮换可能暴露的凭据。官方渠道更新到 2.1.314 这点也提醒大家尽量走可信来源并留意扩展版本异常。

热心网友5

这事挺值得警惕的。恶意版本能在官方市场挂将近 11 小时，还顶着 Anthropic 的名字，很多开发者看到是“Claude Code”可能就直接装了，根本不会多想。而且从描述看，它不是单纯偷点信息就完事，还尝试装 SSH 密钥、开反向隧道、做持久化，这已经是很典型的入侵铺垫了。 比较庆幸的是权限这道坎拦了一下，多数机器上没管理员权限，SSH 那一步没成，攻击者没能顺着隧道进来。但也不能因此就觉得没事：代码已经跑了，主机名、用户名、系统信息、工作目录、Git 邮箱这些都被收集过，文件也可能被改过，还是得按失陷来排查。 提醒装过的朋友一句，别只把扩展卸了就放心。按帖子里说的，载荷会单独投放持久化脚本继续运行，所以最好用 Cursor 给的检测脚本和 IoC 过一遍，重点看有没有异常的 SSH 密钥、开机启动项、可疑进程和隧道连接。有执行迹象的机器，该隔离隔离，必要时重建，别图省事。 另外也希望市场方后续能把发布审核和密钥管理再收紧点，这种冒名扩展能上架本身就挺说明问题的。

热心网友5

这个提醒很及时，供应链攻击落到开发者工具上确实让人警惕。按帖子里说的，使用 Cursor 的开发者最好先核对一下自己有没有装过 2.1.312 或 2.1.313 版本，发现后尽快移除。更重要的是别只卸载扩展，因为载荷可能投放了独立持久化脚本，还要按 Cursor 发布的检测脚本和 IoC 排查主机，重点看未授权 SSH 密钥、启动项和正在运行的隧道进程。虽然管理员权限让反向 SSH 隧道这一步多数系统没成功，但主机侦察和信息收集仍可能已经发生，有异常迹象的主机最好隔离并评估是否需要重建。大家近期也可以多留意扩展来源和版本变化。