AI 程式開發工具 Cursor 在 10 月 29 日發布安全公告：自家 VS Code 擴充套件市集上，出現被竄改的 Anthropic Claude Code 擴充套件（版本 2.1.312、2.1.313，Windows 與 macOS），一裝上就會試圖替電腦植入可持續存在的 SSH 後門。Microsoft 威脅情報團隊隨後發表完整分析，並特別提醒：只解除安裝擴充套件，清不掉後門。
事件經過
- 惡意版本在美西時間 10 月 29 日約 02:27～13:35 間上架（約台灣／香港時間 10 月 29 日 17:27 至 10 月 30 日 04:35）。
- 這兩個版本不是 Anthropic 開發的。Microsoft 表示，Visual Studio Marketplace 與 npm 上的官方 Claude Code 套件未受影響，Anthropic 也確認其系統未遭入侵；目前證據顯示事件僅限 Cursor 市集。
- Cursor 發現後立即下架，並一度關閉整個市集、輪替金鑰、重建市集後再上線，也與雲端業者合作讓攻擊者伺服器下線。
- Cursor 於 10 月 30 日更新入侵指標（IOC）並釐清受影響版本。
重點：這個後門做了什麼
| 行為 | 說明 |
|---|---|
| 蒐集主機資訊 | 主機名稱、使用者名稱、作業系統、Git email、公網 IP，以及名稱含 KEY、TOKEN、SECRET 等字樣的環境變數名稱（Microsoft 指出只傳名稱、不含值） |
| 植入 SSH 金鑰 | 在 authorized_keys 加入註記為 svc-telemetry 的攻擊者公鑰 |
| 反向 SSH 通道 | 試圖開啟本機 SSH 服務並建立反向通道，約每 60 秒重試 |
| 持久化 | macOS 用偽裝成 com.apple.sysmond 的 LaunchAgent；Windows 建立名為 SysMon 的排程工作或啟動資料夾 sysmon.cmd；Linux 用 crontab @reboot |
- Cursor 表示，開啟 SSH 服務需要管理員權限，多數 macOS／Windows 電腦上這一步會失敗，攻擊者無法透過通道登入；但金鑰、持久化腳本與主機資訊回傳仍可能已完成。
- 這是典型的「AI 開發工具供應鏈攻擊」：攻擊者不必騙你下載怪程式，只要混進你信任的擴充套件更新即可。
對你的實務建議
企業／IT 管理者
- 清查 10 月 29 日期間透過 Cursor 市集安裝或自動更新
anthropic.claude-code2.1.312／2.1.313 的電腦。 - 以端點與網路紀錄比對 IOC：連線至
134.209.82[.]225、svc-telemetry金鑰、.stk_開頭暫存檔、SysMon排程工作、com.apple.sysmond.plist。 - 有跡象的主機先隔離、保存證據，再用 Cursor 提供的修復腳本清除，並評估是否重灌。
- 從乾淨的電腦輪替受影響主機可存取的憑證、API 金鑰與工作階段（Git、雲端、AI API key 等）。
- 長期做法：依 Cursor 安全強化指引限制只允許核准的發行者，並設定擴充套件安裝冷卻期，避免新版一上架就自動安裝。
一般用戶（個人開發者）
- macOS 終端機執行：
grep svc-telemetry ~/.ssh/authorized_keys，有結果就代表中招。 - Windows 請檢查
%USERPROFILE%\.ssh\authorized_keys與C:\ProgramData\ssh\administrators_authorized_keys是否有svc-telemetry。 - 中招後不要只按「解除安裝」，請依 Cursor 公告執行修復腳本，並更換所有可能外洩的密碼與金鑰。
- 關掉擴充套件的自動更新，或至少延後幾天再更新，讓市集與資安社群先幫你踩雷。
發表留言