11 小时影响约 5000 开发者：AI 编程工具 Cursor 官方商城出现恶意 Claude Code 插件

IT之家 10 月 31 日消息，科技媒体 bleepingcomputer 昨日（10 月 30 日）发布博文，报道称 AI 编程工具 Cursor 的插件商城于 10 月 29 日上线被篡改的 Anthropic Claude Code 扩展，持续约 11 小时，影响全球约 5,000 名开发者。

IT之家注：Cursor 的插件商城 Cursor Marketplace 是用于发现、安装和管理插件（Plugins）的官方市场，用来给 Cursor 的 AI Agent 接入外部工具、数据源和工作流等。

报道指出该恶意 Claude Code 版本编号为 2.1.313，在太平洋时间凌晨 2:27 至下午 1:35（北京时间 10 月 29 日 17:27 到 10 月 30 日凌晨 4:35）之间分发约 11 小时，最多可能有 5,000 名开发者下载。

Cursor 已确认，恶意软件试图在用户设备上安装持久性 SSH 后门。安全研究人员发现，攻击者并未改动原有合法功能代码，只是在扩展的 extension.js 文件开头插入恶意 JavaScript 加载器。

开发者安装该恶意版 Claude Code 之后，恶意代码就会自动运行，不会与 Claude Code 进行任何交互。该恶意程序会收集用户名、主机名、公网 IP、Git 邮箱及与敏感凭据相关的环境变量名称，并将信息发送至攻击者服务器。

它还会添加攻击者控制的 SSH 密钥，尝试启用 SSH 访问、建立反向隧道，并通过 macOS LaunchAgent 或 Windows 计划任务、启动脚本实现持久化，约每分钟重试一次连接。

不过，由于恶意代码在 SSH 配置环节存在明显错误，许多 Windows 和 macOS 设备可能未能被成功开启远程访问。例如，macOS 上它未以管理员权限执行检查命令；Windows 上则错误地调用 Unix shell /bin/ sh。

Cursor 已下架恶意扩展，并临时关闭整个扩展市场，以审查其他插件、轮换访问密钥。该公司还协同托管服务商关闭攻击者服务器，切断了反向 SSH 连接与数据回传。Cursor 表示，未发现其他扩展版本或官方分发渠道受影响，但尚未说明攻击者如何以 Anthropic 名义发布被篡改的软件包。