Cursor插件商城现恶意Claude Code扩展
AI编程工具Cursor官方插件商城于10月29日上线被篡改的Anthropic Claude Code扩展，恶意版本2.1.313在约11小时内分发，最多影响全球约5000名开发者，试图植入持久性SSH后门并窃取凭据相关信息，Cursor已下架该扩展并临时关闭整个扩展市场。
驱动中国10月31日消息，AI编程工具Cursor的插件商城于10月29日上线一款被篡改的Anthropic Claude Code扩展，恶意版本在约11小时内分发，最多影响全球约5000名开发者。Cursor已确认，该恶意软件试图在用户设备上安装持久性SSH后门。
据bleepingcomputer报道，Cursor Marketplace是用于发现、安装和管理插件的官方市场，用来给Cursor的AI Agent接入外部工具、数据源和工作流。此次被篡改的Claude Code版本编号为2.1.313。
该恶意扩展的分发窗口为太平洋时间凌晨2:27至下午1:35，对应北京时间10月29日17:27至10月30日凌晨4:35，持续约11小时，最多可能有5000名开发者下载。
安全研究人员发现，攻击者并未改动原有合法功能代码，只是在扩展的extension.js文件开头插入恶意JavaScript加载器。开发者安装该恶意版Claude Code之后，恶意代码会自动运行，不会与Claude Code进行任何交互。
该恶意程序会收集用户名、主机名、公网IP、Git邮箱及与敏感凭据相关的环境变量名称，并将信息发送至攻击者服务器。它还会添加攻击者控制的SSH密钥，尝试启用SSH访问、建立反向隧道，并通过macOS LaunchAgent或Windows计划任务、启动脚本实现持久化，约每分钟重试一次连接。
不过，由于恶意代码在SSH配置环节存在明显错误，许多Windows和macOS设备可能未能被成功开启远程访问。例如在macOS上，它未以管理员权限执行检查命令；在Windows上，则错误地调用Unix shell /bin/sh。
Cursor已下架恶意扩展，并临时关闭整个扩展市场，以审查其他插件、轮换访问密钥。该公司还协同托管服务商关闭攻击者服务器，切断反向SSH连接与数据传输。