Cursor 下架遭篡改的 Claude Code 扩展，其曾试图植入 SSH 后门

Cursor 已下架被恶意篡改的 Claude Code 扩展。此前，通过 Cursor 市场分发的一个恶意版本的 Anthropic Claude Code 扩展试图在开发者机器上安装持久化的 Secure Shell（SSH）后门，可能让攻击者远程访问存有源代码、凭据及其他敏感信息的系统。

Cursor 在一份安全公告中表示：“今天太平洋时间约凌晨 2：27 至下午 1：35 之间，一个被恶意修改的 Anthropic Claude Code 扩展版本出现在 Cursor VS Code Extension Marketplace 中。”Cursor 在发现受感染的 2.1.312 和 2.1.313 版本于 10 月 29 日在其 VS Code 扩展市场上架约 11 小时后，将其移除。该公司表示，恶意代码试图添加由攻击者控制的 SSH 密钥、启用本地 SSH 访问，并建立一条通往攻击者控制服务器的反向隧道。

Cursor 在公告中补充说：“这些恶意版本的扩展并非由 Anthropic 开发。”受影响版本适用于 Windows 和 macOS。Anthropic 随后说明了被篡改扩展的传播方式。Anthropic 技术人员 Felix Rieseberg 在 X 上发帖称，此次事件并未涉及 Anthropic 系统或员工笔记本电脑被入侵。他表示，一名恶意行为者利用对 Cursor 市场的访问权限发布了被修改的扩展。Rieseberg 写道：“我们官方渠道上的版本不受影响，此事仅影响 Cursor 用户。”Anthropic 表示正与 Cursor 合作处理该事件。截至发稿时，Cursor 和 Anthropic 均未回应置评请求。

恶意软件无需用户交互即可运行

安全公司 Phorion 对受感染扩展进行了分析，发现恶意代码被插入到其 JavaScript 文件的开头。该代码在扩展加载时即刻运行，早于其正常的激活代码。Phorion 表示：“用户无需与扩展交互，载荷就会触发。”该公司补充说，恶意软件试图将攻击者控制的 SSH 密钥添加到用户的 authorized_keys 文件中，并建立与远程服务器的连接。它还创建了脚本和启动项，旨在让系统重启后仍保持连接可用。

Phorion 发现了 macOS 代码中的一个缺陷。恶意软件试图使用一条需要管理员权限的系统命令来检查远程登录是否已被禁用。在没有这些权限的情况下运行时，该命令返回的是访问错误，而不是预期的状态。因此，恶意软件跳过了启用 SSH 的尝试。Phorion 还发现 Windows 代码中存在一个错误，可能导致其 SSH 服务设置命令无法正确运行。

Microsoft Threat Intelligence 在另一份分析中详细说明了恶意软件收集的信息，包括机器名、用户名、操作系统、工作目录和 Git 电子邮件地址。Microsoft 在分析中写道：“它还会查找名称包含 KEY、TOKEN、SECRET、PASS、AWS 或 GCP 等词的环境变量，最多保留四十个匹配项。”该公司表示，代码收集的是匹配的变量名，而非其值。

仅移除扩展可能不够

Cursor 表示，在受影响的 Windows 和 macOS 机器上，如果没有管理员权限，启用本地 SSH 服务通常会失败。然而，该扩展仍可能添加攻击者的 SSH 密钥、安装持久化机制，并将主机信息发送给攻击者。该公司警告说，仅卸载扩展可能无法移除这些组件，因为恶意软件将脚本放置在了扩展安装目录之外。

Exabeam 的 AI 战略与安全研究副总裁 Steve Povolny 表示，植入的 SSH 密钥使得清理工作尤为重要。他说：“移除扩展只是把访客打发走，而备用钥匙仍留在钩子上。”Povolny 建议在受影响开发者可访问的机器上检查已授权的 SSH 密钥，轮换可能已泄露的凭据，并审查日志中是否有使用陌生密钥的登录记录。他说，开发者通常可以访问源代码、云账户和生产系统，因此一台被入侵的工作站可能成为通往其他企业资源的潜在途径。Phorion 还建议检查 SSH 密钥的指纹，而不是仅依赖附加在其上的注释 svc-telemetry。

扩展安全性引发质疑

Security Brigade 创始人兼 CTO Yash Kadakia 表示，企业应将扩展市场视为软件供应链的一部分。Kadakia 说：“扩展市场实际上就是另一条软件供应链。当恶意代码可以通过看似合法、常规的更新触达开发者时，来自可信市场的软件就是安全的这一传统假设便开始瓦解。”他建议加强发布者验证、检查包完整性，并控制开发者可安装哪些扩展和版本。

Kadakia 还呼吁实施扩展允许列表、受控更新、终端监控以及对出站连接的限制。他表示，短期凭据、隔离的开发环境以及对敏感基础设施的有限访问，可以减轻开发者机器被入侵所造成的影响。Cursor 表示，它已移除恶意版本，暂时关闭市场，审计访问权限，轮换密钥，并在恢复服务前重建了市场。

本文最初发表于 CSO。