Cursor 插件商城现恶意 Claude Code 扩展，约 5000 名开发者受影响

AI 编程工具 Cursor 的官方插件商城于 10 月 29 日上线了一个被篡改的 Anthropic Claude Code 扩展，持续分发约 11 小时，影响全球约 5000 名开发者。Cursor 已确认，该恶意软件试图在用户设备上安装持久性 SSH 后门。

据科技媒体 bleepingcomputer 报道，恶意版本编号为 2.1.313，在太平洋时间凌晨 2:27 至下午 1:35 之间分发。Cursor 已下架该扩展并临时关闭整个扩展市场，以审查其他插件、轮换访问密钥。

事件经过

Cursor Marketplace 是 Cursor 用于发现、安装和管理插件的官方市场，其作用是为 Cursor 的 AI Agent 接入外部工具、数据源和工作流。此次被篡改的软件包以 Anthropic Claude Code 扩展的名义出现在该市场中，版本编号为 2.1.313。

按照报道给出的时间，恶意版本在太平洋时间凌晨 2:27 至下午 1:35 之间分发，对应北京时间 10 月 29 日 17:27 到 10 月 30 日凌晨 4:35，持续约 11 小时。Cursor 方面确认，最多可能有 5000 名开发者下载了这一版本。

安全研究人员在检查中发现，攻击者并未改动扩展原有的合法功能代码，而是在 extension.js 文件开头插入了一段恶意 JavaScript 加载器。这一改动方式使扩展在表面上仍保持原有功能，恶意逻辑则随文件加载而启动。

开发者安装该恶意版本后，恶意代码会自动运行，不需要与 Claude Code 进行任何交互。它首先收集用户名、主机名、公网 IP、Git 邮箱以及与敏感凭据相关的环境变量名称，并将这些信息发送至攻击者服务器。

随后，恶意程序会向设备添加由攻击者控制的 SSH 密钥，尝试启用 SSH 访问并建立反向隧道，再通过 macOS LaunchAgent 或 Windows 计划任务、启动脚本实现持久化，连接尝试大约每分钟重试一次。

不过报道指出，恶意代码在 SSH 配置环节存在明显错误，许多 Windows 和 macOS 设备可能并未被成功开启远程访问。例如在 macOS 上，它没有以管理员权限执行检查命令；在 Windows 上，它错误地调用了 Unix shell /bin/sh。

从已披露的信息看，恶意代码是借助 Cursor 官方插件商城的正常分发渠道到达开发者设备的，软件包以 Anthropic Claude Code 扩展的名义上架，并在约 11 小时内被下载最多约 5000 次。

目前尚不清楚攻击者是如何以 Anthropic 名义发布这一被篡改的软件包的。Cursor 表示，未发现其他扩展版本或官方分发渠道受到影响，但未就上架审核环节给出进一步说明。

事件曝光后，Cursor 已下架该恶意扩展，并临时关闭整个扩展市场，以便审查其他插件并轮换访问密钥。关闭市场意味着在此期间所有插件的发现与安装都受到影响。

Cursor 还协同托管服务商关闭了攻击者服务器，从而切断了反向 SSH 连接与数据回传通道。这一措施针对的是恶意代码向外发送信息以及维持远程访问所依赖的基础设施。

对于影响范围，Cursor 的表态是未发现其他扩展版本或官方分发渠道受影响。公司同时确认了恶意软件试图安装持久性 SSH 后门这一行为性质。

截至目前，仍有一个关键环节没有答案：攻击者如何以 Anthropic 名义将篡改后的软件包发布到 Cursor 官方商城。这一问题关系到上架审核与身份核验流程，Cursor 尚未作出说明。

另一个不确定之处在于实际受影响设备的数量。约 5000 名开发者是下载数量的上限估计，而由于恶意代码在 SSH 配置环节存在错误，其中多少设备真正被开启远程访问、多少信息已被回传，报道未给出进一步数据。