特洛伊木马化的Claude代码扩展向开发者机器植入持久SSH后门

一个带后门的Claude Code扩展在官方渠道上架11小时，最多5000名Cursor用户中招。10月29日，版本号为2.1.313的Claude Code VS Code扩展被发布到Open-VSX注册表，并通过镜像同步进入Cursor的扩展市场。安全公司StepSecurity的沙箱分析确认，这个版本在加载时会植入攻击者的SSH密钥、在各操作系统上建立持久化机制、向攻击者服务器开一条反向SSH隧道，并通过明文HTTP回传主机侦察数据。整个过程不需要用户发起任何Claude对话，也不需要VS Code接口，只要扩展模块被加载就会触发。恶意文件比上一个干净版本大约7KB，被嵌在正常的extension.js包里，从外观上看不出异常。 这件事的关键在于分发链条。Open-VSX是VSCodium、Cursor、Windsurf、Gitpod等工具默认或可选使用的开放扩展注册表，与微软的Visual Studio Marketplace相互独立。Anthropic在Open-VSX上的命名空间由一名员工持有并发布，因此2.1.313是以合法发布者身份出现的，并非仿冒。但Cursor的公告明确指出，该版本并非Anthropic开发。至于它是通过发布者凭证泄露还是其他方式进入注册表，目前尚无公开结论。真正的问题是，Open-VSX上一次上游发布，会自动传播到所有下游消费者，Cursor市场正是通过镜像把恶意版本送到了用户面前。目前Open-VSX已恢复提供2.1.312和2.1.314，对2.1.313的API和CDN请求均返回“未找到”，微软市场同样对该版本返回404。 对开发者和出海团队来说，风险不止于卸载扩展。加载器投放的持久化组件是独立存在的，卸载扩展并不能清除。StepSecurity建议，凡是在10月29日09:27 UTC至10月30日之间安装过2.1.313的机器，都应视为已失陷：检查~/.ssh/authorized_keys中是否存在名为svc-telemetry的密钥，清除持久化残留，并轮换该机器可访问的所有凭证。对于把开发机当作生产环境跳板的跨境电商团队，这意味着数据库密码、云服务密钥、代码仓库令牌都可能需要一并更换。