Cursor披露恶意 Claude Code 扩展程序尝试植入 SSH 后门

Cursor于2026年10月29日披露了一起安全事件：其 VS Code 扩展市场中的 Anthropic.claude-code 扩展程序遭恶意篡改。该公司表示，这个软件包并非由 Anthropic 开发，其中运行的代码试图植入一个可持续存在的 SSH 后门。受影响用户最多有5,000人。

该公司在一份安全公告中表示，将直接联系受影响的用户。这个恶意软件包是Anthropic 的 Claude Code扩展程序的2.1.313版本，于2026年10月29日太平洋时间凌晨约2:27至下午1:35期间在市场中提供下载。

恶意版本的行为方式

Cursor表示，遭篡改的扩展程序会收集主机和用户信息：主机名、用户名、操作系统、架构、主目录路径、环境变量名称、工作目录、配置的 Git 电子邮件地址，以及计算机的公网 IP 地址。

该扩展程序试图将攻击者控制的 SSH 密钥添加到用户的 authorized_keys 文件中，启用本地 SSH 服务，并建立反向 SSH 隧道。Cursor表示，由于恶意代码存在错误，除非极少数情况下 Cursor 是以管理员权限启动的，否则这一步会失败。该公司补充说，启用本地 SSH 服务需要管理员权限，而该扩展程序在大多数 macOS 和 Windows 主机上并不具备此权限，因此攻击者无法通过隧道登录这些计算机。即便如此，该扩展程序仍会添加攻击者的 SSH 密钥、安装持久化机制，并向攻击者发送主机详细信息。

Cursor表示，为实现持久化，恶意载荷会在 macOS 上安装 LaunchAgent；在 Windows 上，则会创建一个计划任务，尝试以 SYSTEM 身份运行，并在失败时改用启动脚本作为后备方案；与此同时，后台脚本会大约每60秒重试一次隧道连接。扩展程序会通过 HTTP POST 请求向一个 /beacon 端口为8099的端点报告主机详细信息和后门状态。

Cursor的应对措施

Cursor表示，发现恶意版本后立即将其从市场中移除并阻止其继续传播，随后出于谨慎关闭了整个市场。该公司称，经过访问审计，已确认没有其他扩展程序遭到篡改；公司还轮换了密钥、重建了市场，并使其重新上线。

Cursor还表示，公司与托管攻击者服务器的云服务提供商合作，使该服务器下线；目前攻击者的服务器已无法运行，因此反向 shell 和用于发送主机详细信息的 POST 请求也都无法使用。该公司称，其调查结果仅涉及已识别的软件包，且没有证据表明该扩展程序的其他版本或官方分发渠道受到影响。

修复步骤与指标

Cursor建议，在受影响时段内从其市场安装或更新至 Anthropic.claude-code 2.1.313 版本的用户运行其影响检查工具；在终端、网络和扩展程序安装遥测数据中搜索已公布的指标；隔离出现恶意载荷执行或后门安装迹象的主机；使用其修复脚本移除未经授权的 SSH 密钥、持久化机制和正在运行的隧道进程，同时评估是否需要重建主机。受影响用户应使用可信系统，更换可从受影响主机访问的凭据，并撤销相关会话。

该公司警告称，仅卸载扩展程序可能不足以解决问题，因为恶意载荷会释放独立的持久化脚本，使其继续运行；公司还表示，有限的环境变量收集并不能排除攻击者之后通过后门获取凭据的可能性。

影响检查工具会查找攻击者的公钥，其标签为 svc-telemetry，并附加在 SSH authorized_keys 文件中：在 macOS 上运行 grep 命令；在 Windows 上运行 PowerShell 检查，检查用户的 authorized_keys 文件以及 administrators_authorized_keys 下的 C:\ProgramData\ssh文件。如果找到该密钥，即表示计算机受到影响；此时 Cursor会引导用户运行对应平台的修复脚本。

macOS 脚本 remediate-macos.sh必须以受影响用户的身份运行，而不能以 root 身份运行；Windows 脚本 remediate-windows.ps1必须在以管理员权限打开的 PowerShell 会话中运行。两个脚本都会移除恶意扩展程序、持久化机制、正在运行的隧道进程以及攻击者的 SSH 密钥；如果仍有任何内容残留，脚本会以非零状态码退出。

已公布的入侵指标包括遭篡改的 darwin-arm64 和 win32-x64 VSIX 软件包的 SHA-256 哈希值，以及 macOS 或 Windows 上 2.1.313 扩展程序文件夹中的一个遭篡改的 extension.js 文件，其中包含字符串 134.209.82.225 和 svc-telemetry。网络指标包括攻击者端点 134.209.82.225、指向 tunnel@134.209.82.225 的反向 SSH 目标（TCP 端口 22）、同一地址上端口 8099 的外部信标，以及针对 127.0.0.1:8099 的环回信标尝试。Cursor 还列出了未经授权的 ssh-ed25519 公钥（指纹为 SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk）、反向隧道密钥指纹，以及 macOS 和 Windows 上的持久化文件路径——其中包括一个标签为 com.apple.sysmond、一个名为 SysMon，以及一个名为 sysmon.cmd ——以及命令行指标，包括 ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on，以及一条 Add-WindowsCapability 用于安装 OpenSSH 服务器功能的命令。

Cursor 指出，载荷对公网 IP 地址的查询会访问 ifconfig.me 和 api.ipify.org，这些都是合法服务；仅访问这些服务本身并不构成指标。该公司请有疑问者联系security@cursor.com。