Cursor应用商店中分发的一个经过篡改的Anthropic Claude Code扩展版本，曾尝试在开发者设备上安装持久性的安全外壳（SSH）后门，可能使攻击者获得对存有源代码、凭证及其他敏感信息系统的远程访问权限。
Cursor在一份安全公告中表示："今天大约从太平洋时间凌晨2点27分到下午1点35分之间，Cursor VS Code扩展市场中出现了一个经过恶意篡改的Anthropic Claude Code扩展版本。"
Cursor在发现这些受感染版本（2.1.312和2.1.313）已在其VS Code扩展市场中存在约11小时后，于10月29日将其下架。
该公司表示，这段恶意代码试图添加一个由攻击者控制的SSH密钥、启用本地SSH访问，并建立一条通往攻击者控制服务器的反向隧道。
"这些恶意版本的扩展并非由Anthropic开发，"Cursor在公告中补充道。受影响的版本适用于Windows和macOS系统。
随后，Anthropic澄清了这款被篡改扩展的分发方式。Anthropic技术团队成员费利克斯·里泽伯格在X平台发文称，此次事件并未涉及Anthropic系统或员工笔记本电脑遭到入侵。他表示，一名恶意行为者利用了对Cursor应用商店的访问权限发布了这个被修改的扩展。
里泽伯格写道："我们官方渠道上的版本未受影响，此次事件仅影响Cursor用户。"Anthropic表示正在与Cursor就此事件展开合作。
截至发稿时，Cursor和Anthropic均未回应置评请求。
分析了此受感染扩展的安全公司Phorion发现，恶意代码被插入到该扩展JavaScript文件的开头。它会在扩展加载后立即运行，早于其正常的激活代码。
Phorion表示："用户无需与该扩展进行任何交互，恶意负载便会自动触发。"
该恶意软件试图将一个由攻击者控制的SSH密钥添加到用户的authorized_keys文件中，并与远程服务器建立连接。该公司补充说，它还创建了脚本和启动项，旨在使系统重启后该连接仍能保持可用。
Phorion在macOS代码中发现了一个缺陷。该恶意软件试图通过一条需要管理员权限的系统命令来检查远程登录功能是否已被禁用。当该命令在没有管理员权限的情况下运行时，会返回访问错误而非预期的状态信息。因此，该恶意软件放弃了启用SSH的尝试。
Phorion还在Windows代码中发现一个错误，可能导致其SSH服务设置命令无法正确运行。
微软威胁情报团队在另一份分析报告中，详细说明了该恶意软件收集的信息，包括机器名称、用户名、操作系统、工作目录以及Git电子邮件地址。
微软在分析中写道："它还会搜索包含KEY、TOKEN、SECRET、PASS、AWS或GCP等关键词的环境变量名，最多保留四十个匹配项。"该公司表示，该代码收集的是匹配的变量名称，而非其具体数值。
Cursor表示，在受影响的Windows和macOS机器上，由于缺乏管理员权限，启用本地SSH服务通常会失败。然而，该扩展仍可能添加攻击者的SSH密钥、安装持久化机制，并向攻击者发送主机信息。
该公司警告称，仅卸载该扩展可能无法清除这些组件，因为该恶意软件将脚本放置在扩展安装目录之外的位置。
Exabeam人工智能战略与安全研究副总裁史蒂夫·波沃尔尼表示，被植入的SSH密钥使得清理工作显得尤为重要。他说："卸载扩展程序只是让访客离开，但备用钥匙仍挂在钩子上。"
波沃尔尼建议，应检查受影响开发者可访问机器上的已授权SSH密钥，轮换可能已泄露的凭证，并审查日志以排查使用陌生密钥的登录记录。他表示，开发者通常可以访问源代码、云账户和生产系统，这使得一台被攻陷的工作站可能成为通往其他企业资源的潜在入口。
Phorion还建议核查该SSH密钥的指纹信息，而不要仅仅依赖其附带的svc-telemetry注释。
Security Brigade创始人兼首席技术官亚什·卡达基亚表示，企业应将扩展应用商店视为软件供应链的一部分。
卡达基亚说："一个扩展应用商店实际上就是另一条软件供应链。当恶意代码能够以看似合法、常规更新的方式触达开发者时，'来自可信应用商店的软件就是安全的'这一传统假设便开始站不住脚了。"
他建议加强发布者身份验证、对软件包完整性进行检查，并对开发者可安装的扩展及其版本实施管控。
卡达基亚还呼吁实施扩展白名单制度、受控更新、端点监控以及对外连接限制。他表示，短期有效凭证、隔离的开发环境以及对敏感基础设施的有限访问权限，可以降低开发者设备遭入侵所带来的影响。Cursor表示，公司已下架恶意版本，暂时关闭了其应用商店，并对访问权限进行了审计、轮换了相关密钥，在重建应用商店后才恢复了该服务。
本文原载于CSO。
