冒名 Claude Code 扩展在 Cursor 市场挂了十一个小时

扩展 ID 写的是 Anthropic，代码却出自攻击者之手；只卸载扩展，可能清不干净。

先说结论：10 月 29 日，Cursor 自家的扩展市场里出现了一个并非 Anthropic 发布的 Anthropic.claude-code 2.1.313。Cursor 称最多约 5000 名用户装到了它，恶意代码会上报主机信息、植入攻击者的 SSH 公钥并尝试建立反向隧道。该版本已下架，攻击者服务器已下线。

十一个小时里发生了什么

据 Cursor 公告，恶意版本在美国太平洋时间 10 月 29 日凌晨 2:27 到下午 1:35 之间可被下载，前后约 11 小时。扩展的发布者标识仍是 Anthropic，版本号顺着正版往上排，对开着自动更新的用户来说，这次「升级」和平时没有任何区别。

Cursor 发现后先下架该版本，随后干脆把整个扩展市场关掉重建，审计访问权限、确认其他扩展未被改动、轮换自身密钥，再和托管商一起把攻击者的服务器拿下线。公告称没有证据显示 Claude Code 扩展的其他版本或官方渠道的发行版受到影响。

载荷拆开来看

收集：主机名、用户名、操作系统与架构、主目录路径、环境变量名（公告写的是名称）、当前工作目录、Git 邮箱、公网 IP。
后门：把一把注释为 svc-telemetry 的攻击者公钥写进 authorized_keys，开启本机 SSH 服务，再向外打反向隧道。
持久化：macOS 用 LaunchAgent，Windows 用以 SYSTEM 身份运行的计划任务（名为 SysMon），启动文件夹里还留了备用脚本；后台每约 60 秒重试一次隧道。
回报：向攻击者的 8099 端口 /beacon 发 POST，汇报主机信息与后门状态。

有一个细节值得单独拎出来：由于代码本身有缺陷，开启 SSH 服务这一步在没有管理员权限时通常会失败，所以多数机器的隧道没有建成。但 Cursor 特意强调，公钥写入、持久化和信息上报并不依赖这一步，照样会发生。换句话说，隧道没通不代表机器干净，攻击者手里依然拿到了一份带公网 IP 和 Git 邮箱的受害者名单。

为什么偏偏是 Cursor 的市场

Cursor 是 VS Code 的分支，用不了微软官方的扩展商店，只能自建或接第三方市场来分发扩展。这类「分叉编辑器 + 自营市场」的结构，发布者校验和上架审核都比微软那边薄，此前 Open VSX 就被安全研究者指出过可被接管、扫描可被绕过等问题。这次的公告没有点名 Open VSX，也没有说明攻击者是怎么拿到以 Anthropic 名义发布的能力的，这恰恰是最需要后续说明的部分。

选 Claude Code 当外壳也不难理解：它是 AI 编程工具里装机量最大的扩展之一，用户默认信任「Anthropic」这个发布者，而且这类工具本来就要读写整个工作区、调用终端，权限申请再多也不会让人起疑。

如果你用 Cursor 装过 Claude Code 扩展：先看 ~/.ssh/authorized_keys（Windows 在用户目录或 ProgramData 下的同名文件）里有没有含 svc-telemetry 的公钥，再查 macOS 的 LaunchAgents、Windows 计划任务里有没有 SysMon。有就按受害处理：隔离机器，运行 Cursor 公告里对应平台的清理脚本，并从另一台可信设备轮换这台机器能接触到的密钥、令牌和会话。只卸载扩展不够，持久化脚本是独立运行的；情况严重时公告建议考虑重装系统。

还没回答的问题

5000 是 Cursor 给出的上限，实际被成功写入公钥的机器有多少、攻击者在服务器下线前连回去过几台，公告都没有交代。Anthropic 目前也没有单独发声。对一个以「Anthropic」署名、却不由 Anthropic 掌控的发布渠道来说，下一次出事时用户该先信谁，比这次的技术细节更值得追问。