Cursor市场现恶意Claude Code扩展 2.1.313，约 5000 名用户受影响
Cursor称，攻击者投放的Anthropic.claude-code 2.1.313试图植入SSH后门并建立反向隧道，受影响用户至多 5000 人；因恶意代码存在错误，在多数macOS和Windows主机上提权步骤失败。
AI解读：最需要弄清的是这台机器是否已被植入攻击者公钥。受影响范围是 2026 年 10 月 29 日约 2:27 至 13:35（太平洋时间）从Cursor VS Code扩展市场安装或更新到Anthropic.claude-code 2.1.313的用户，Cursor称至多 5000 人受影响并会直接联系。
Cursor说明了限制：恶意扩展尝试把攻击者公钥加入authorized_keys、开启本地SSH服务并建立反向隧道，但开启SSH服务需要管理员权限。除非极小概率下Cursor以管理员权限启动，否则该步骤会因恶意代码本身的错误而失败，攻击者无法通过隧道登录。
失败不代表无害。Cursor表示，扩展仍会写入攻击者公钥、安装持久化机制并回传主机信息。它建议检查authorized_keys中是否出现svc-telemetry标签的公钥，并称仅卸载扩展可能不够，因为载荷会释放独立运行的持久化脚本。
Cursor的处理包括：发现后立即下架该版本并阻止继续分发，随后出于谨慎完全关闭VS Code扩展市场；审计访问权限，确认没有其他扩展被篡改；轮换密钥、重建市场并恢复上线。它还称已与云服务商合作关停攻击者服务器，因此反向shell和主机信息POST已不可用。
Cursor在博客安全公告中称，已确认Cursor VS Code扩展市场中Anthropic.claude-code 2.1.313是被恶意修改的版本，并非Anthropic开发。该恶意版本在太平洋时间 10 月 29 日约 2:27 至 13:35 之间可被获取，至多 5000 名用户受影响。
公告称，恶意扩展会收集主机名、用户名、操作系统、架构、主目录路径、环境变量名、工作目录、配置的Git邮箱和公网IP，并尝试把攻击者控制的SSH公钥加入authorized_keys、开启本地SSH服务、建立反向SSH隧道。
Cursor称，由于恶意代码存在错误，除非在极不寻常的情况下以管理员权限启动Cursor，这一提权步骤会失败；在多数macOS和Windows主机上，扩展没有管理员权限，因此攻击者无法通过隧道登录。但扩展仍会添加攻击者公钥、安装持久化机制并回传主机信息。
Cursor表示，检测到后立即从市场移除该版本并阻止继续分发，随后出于谨慎完全关闭VS Code扩展市场；审计访问权限后确认没有其他扩展被篡改，并轮换密钥、重建市场后恢复上线。它还称已与托管服务商合作关停攻击者服务器，使反向shell和主机信息POST失效。
受影响版本与时间窗
Cursor将事件限定为Cursor VS Code扩展市场中的Anthropic.claude-code 2.1.313。公告称该版本不是Anthropic开发，受影响用户至多 5000 人，Cursor会直接联系他们。
Cursor称没有证据表明该扩展的其他版本或官方分发渠道受到影响。
- 受影响版本：Anthropic.claude-code 2.1.313
- 时间窗：太平洋时间 10 月 29 日约 2:27 至 13:35
- 影响上限：至多 5000 名用户
恶意行为与技术限制
Cursor公告列出恶意扩展的行为：收集主机与用户信息；尝试向authorized_keys添加攻击者公钥；尝试启用本地SSH服务并打开反向SSH隧道；通过macOS LaunchAgent或Windows计划任务尝试持久化，后台脚本约每 60 秒重试隧道；向 134.209.82.225 的 8099 端口 /beacon发起HTTP POST上报主机详情和后门状态。
公告称，攻击者服务器已不再运作，反向shell和主机信息POST已失效。开启本地SSH服务需要管理员权限，而恶意扩展在多数macOS和Windows主机上没有该权限，因此该步骤失败，攻击者无法通过隧道登录。
Cursor同时说明，有限的环境变量收集并不排除攻击者之后通过后门获取凭据的可能。
- 收集主机名、用户名、OS、架构、主目录、环境变量名、工作目录、Git邮箱、公网IP
- 尝试添加攻击者SSH公钥，标签为svc-telemetry
- 尝试开启SSH服务并建立反向隧道，多数主机因缺少管理员权限失败
- 安装macOS LaunchAgent或Windows计划任务持久化，约每 60 秒重试隧道
- 攻击者服务器已被关停，相关外联失效
自查与处置
Cursor建议受影响时间窗内安装或更新过该版本的用户检查本机SSH authorized_keys是否出现svc-telemetry公钥。macOS可用grep命令检查 ~/.ssh/authorized_keys；Windows可在PowerShell中检查用户目录和C:\ProgramData\ssh\administrators_authorized_keys。
若发现该公钥，Cursor建议隔离主机，移除未授权SSH公钥、持久化机制和运行中的隧道进程，评估是否重建主机；从可信系统轮换受影响主机可访问的凭据和会话。Cursor称仅卸载扩展可能不够，因为载荷会释放独立运行的持久化脚本。
Cursor还提供了按平台执行的自查与修复脚本，并称脚本会在仍有残留时以非零状态退出。公告列出恶意VSIX的SHA-256、MD5、恶意代码中的IP与标签、攻击者公钥指纹，以及macOS和Windows上的持久化文件路径。
- 检查authorized_keys中是否有svc-telemetry公钥
- 发现公钥即视为受影响，按公告步骤移除公钥、持久化机制和隧道进程
- 从可信系统轮换受影响主机可访问的凭据和会话
- Cursor提供macOS与Windows修复脚本，仍有残留时脚本以非零状态退出
- 公告给出恶意VSIX哈希与攻击者公钥指纹供排查