Cursor应用市场出现恶意Claude Code扩展，可在Windows与macOS上植入持久化SSH后门

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年11月2日 16:06
江苏

去阅读

通过Cursor（基于VS Code）扩展市场分发的恶意Claude Code扩展，试图在Windows与macOS开发者设备上创建持久化SSH后门。

受影响的软件包为 Anthropic.claude‑code 的2.1.312、2.1.313版本，太平洋时间2026年10月29日约凌晨2:27至下午13:35期间可下载获取。

Cursor官方表示，这些被篡改的软件包并非Anthropic官方开发。

根据Cursor在10月30日更新的安全公告，调查人员没有证据表明其他扩展版本或是官方分发渠道遭到入侵。

这起事件表明，恶意开发者扩展能够把原本可信的编程环境变成未授权访问的入侵入口。不过，权限限制削弱了该恶意载荷的实际攻击效果。

Cursor平台中的恶意Claude Code扩展

被篡改的 extension.js 会收集主机名、用户名、操作系统、处理器架构、用户主目录路径、工作目录、已配置的Git邮箱地址以及公网IP地址，同时采集环境变量名称。Cursor的说明中没有确认初始收集行为是否包含环境变量的具体数值，这一点对评估凭证泄露风险十分关键。

该恶意载荷尝试将攻击者控制、注释为 svc‑telemetry 的SSH公钥追加写入SSH授权文件；尝试开启本机SSH服务，通过TCP 22端口向地址 134[.]209[.]82[.]225 建立反向隧道。攻击者通过向8099端口信标接口发送HTTP POST请求，上传主机侦察信息。

隧道建立命令为  ssh -N -R '\*:0:localhost:22' ，配套参数关闭主机密钥校验、配置连接保活机制；后台脚本大约每60秒重试一次隧道连接。

攻击者直接使用合法远程访问工具实现后门，这种手段和传统SSH后门技术类似，不完全依赖定制远控恶意程序实现持久驻留。

在macOS系统，恶意程序通过 ~/Library/LaunchAgents/com.apple.sysmond.plist 的LaunchAgent实现自启动，配套文件存放于 ~/.config/ 目录。

Windows平台，恶意程序尝试创建名为 SysMon 、以SYSTEM权限运行的计划任务；若失败则回退使用启动文件夹脚本。这些独立文件，即便恶意扩展本身被卸载，依然可以留存于系统中维持持久化。

但Cursor强调，开启SSH服务需要管理员权限，而扩展一般无法获取该权限；同时代码缺陷也导致后门很难成功部署，只有在极少数以高权限运行的场景才会生效。

即便远程登录未必成功，官方确认攻击者可以实现密钥写入、持久化组件安装、主机信息外传，因此受影响设备必须执行处置流程。该风险进一步凸显扩展能够接触开发者凭据带来的隐患，但本次事件并非利用该类漏洞。

Cursor已经下架恶意软件包、临时关闭扩展市场、审计访问记录、轮换密钥、重建服务，之后恢复市场功能；同时协同服务器托管服务商封禁攻击者服务器，切断隧道和外部信标上报通道。

受波及的企业应当核查扩展安装记录、终端日志、网络遥测数据；隔离发现攻击执行痕迹的主机；清除非法SSH密钥、持久化文件以及隧道进程。

Cursor建议评估系统是否需要重装，并且在一台干净可信的设备上轮换所有可访问的凭据与会话。官方提供对应系统的清理脚本，仅卸载扩展不足以彻底清除威胁。