Cursor扩展市场假Claude Code（2.1.312/2.1.313）后门：怎么查版本、扫svc-telemetry密钥、卸扩展不够还要清持久化

如果你在2026年10月29日那天，通过Cursor自带的VS Code扩展市场安装或更新过名为Anthropic.claude-code的扩展，并且版本是2.1.312或2.1.313，先停下手头的事，按下面官方流程自查。这不是「可能有风险」的模糊警告，而是Cursor当天发出的安全通告：这两个版本不是Anthropic做的，里面带了试图安装持久SSH后门的恶意代码。

窗口很短：大约太平洋时间（PT）2:27到13:35（换算到新加坡时间大约是10月29日17:27到次日4:35一段，跨日注意别看错日历）。只影响Cursor扩展市场里的这两个版本；通告写明不影响从cursor.com/marketplace下载的其他扩展，以及官方其他分发渠道里的正版包。Linux用户、完全没碰过这两个版本的人，按通告不在「必须立刻处置」名单里，但团队里有人用Mac/Windows装过的，仍建议统一扫一遍。

状态：已确认事件，恶意版本已下架

• 已公布：Cursor公司博客安全通告，10月29日首发，10月30日11:30 PT更新了IoC并澄清受影响版本；
• 已处置：恶意版本已从市场移除，市场曾整站关停审计后重建上线，相关密钥已轮换；托管攻击服务器的云厂商配合下线，反向Shell与主机信息POST当前不可用；
• 未证实扩大：通告称目前没有证据显示其他版本或官方正版分发被篡改。

微软等安全厂商随后也发了分析，技术细节以Cursor通告的IoC表为准即可，排查时不要混用来源不明的「一键修复」脚本。

恶意代码试图做什么（便于理解为何卸扩展不够）

按官方描述，载荷会：

• 收集并外传主机与用户信息：主机名、用户名、操作系统、架构、家目录、环境变量名、工作目录、配置的Git邮箱、公网IP等；
• 尝试把攻击者控制的SSH公钥写入authorized_keys、打开本机SSH服务、并建立反向SSH隧道；
• 尝试用macOS LaunchAgent，或Windows计划任务（试图以SYSTEM跑）+ Startup脚本做持久化，后台大约每60秒重试隧道。

通告里的关键限定：在Cursor不是以管理员权限启动的常见情况下，打开本机SSH服务这一步会因权限不足失败，攻击者也就很难真正从隧道登进来。但这不等于「没事」——公钥可能已被写入、持久化脚本可能已落下、主机信息可能已POST出去。所以官方要求：即使用户觉得「我没给管理员权限」，也要按修复步骤做完。

第一步：你是不是目标用户

同时满足才需要进入处置：

1. 平台是macOS或Windows；
2. 扩展来源是Cursor的VS Code Extension Marketplace（不是仅用终端里的正版Claude Code CLI、也不是其他市场的清白版本）；
3. 安装或更新到了2.1.312或2.1.313；
4. 时间落在上述PT窗口内（或无法证明自己在窗口外更新）。

在Cursor里打开扩展面板，搜Anthropic Claude Code，看已装版本号。说不清版本的，直接当「可能中招」做密钥排查，成本很低。

第二步：30秒看有没有svc-telemetry密钥

恶意扩展会把注释为svc-telemetry的攻击者公钥追加进SSH授权文件。官方给的检查命令：

macOS（在终端执行）：

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Windows（PowerShell）：

$files = "$HOME.sshauthorized_keys", "C:ProgramDatasshadministrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

输出svc-telemetry key found就按中招处理：隔离主机，跑官方修复脚本，并从另一台可信设备轮换这台机器能碰到的密码、Token、SSH密钥、云控制台会话。

第三步：修复——卸扩展只是其中一环

官方提供了remediate-macos.sh与remediate-windows.ps1（见通告正文附件链接）。作用是移除恶意扩展、清持久化、杀隧道进程、删攻击者SSH密钥；若仍有残留会以非零退出码结束。

• macOS：用受影响用户本人跑，不要sudo当root跑：bash remediate-macos.sh；
• Windows：以管理员打开PowerShell后：powershell -ExecutionPolicy Bypass -File .remediate-windows.ps1。

只在扩展面板点「卸载」不够：载荷会扔下独立的持久化脚本继续跑。通告列到的路径包括（便于人工复核，完整表以官方为准）：

• macOS：~/Library/LaunchAgents/com.apple.sysmond.plist（标签com.apple.sysmond）、~/.config/.smt、~/.config/.smtk、临时目录下.stk_前缀文件；
• Windows：计划任务名SysMon、Startup下的sysmon.cmd、%USERPROFILE%.configsmt.cmd等；
• 两端：authorized_keys里带svc-telemetry注释的那一行。

进程侧可留意ssh -N -R、autossh、以及异常的schtasks /create /tn SysMon痕迹。网络IoC里出现过的攻击端地址与beacon端口，通告用了防复制改写的写法列出；做企业狩猎时直接对照Cursor页面，不要从二手文章抄IP。

第四步：凭据与供应链习惯

• 从未中招的机器轮换：Git托管凭证、云厂商密钥、GitHub PAT、SSH私钥、聊天与CI令牌；
• 扩展只从官方说明的可信市场安装；发布者显示名像Anthropic不代表签名与供应链干净——这次就是挂着Anthropic.claude-code标识的假包；
• 终端里的正版Claude Code与编辑器扩展是不同分发面；通告针对的是Cursor扩展市场里的这两个VSIX版本。用CLI的人也建议核对一下自己有没有顺手装过同名扩展；
• 公司设备：把IoC丢进EDR/DNS检索，对曾在窗口内更新过该扩展的主机出工单，不要只靠员工自觉。

和「Claude订阅改名」无关

同一时期Anthropic把Max 20x更名为Ultra，那是账号套餐政策，和这次扩展投毒不是一件事。别在团队群里说成「Claude Ultra有后门」。正版Claude产品入口仍走Anthropic与文档列出的渠道；编辑器插件出事后，以Cursor通告和Anthropic自己的说明为准。

开发安全相关的日常习惯，还可以结合站内AI代码编辑器、终端编程智能体分类，以及之前的只认官方站点防假冒思路：安装来源、发布者、版本哈希，三样能核对就核对。通告附了2.1.312/2.1.313各平台VSIX的SHA-256，取证时用来确认磁盘上的包是不是那两枚。

常见问题

我只在Linux上用Cursor，要不要跑修复脚本？

通告点名的恶意包是Windows与macOS版本。Linux若从未装过这两个VSIX，一般不在强制处置名单；若团队混用，仍建议用扩展列表与终端确认版本。

攻击服务器都关了，是不是不用管了？

外连可能已经失效，但本机公钥、计划任务、LaunchAgent还在的话，等于留着定时炸弹和审计污染。按官方脚本清干净，并轮换凭据。

如何联系官方？

通告写的安全邮箱是[email protected]。提交前先完成自查命令与脚本，附上版本号与是否检出svc-telemetry，减少来回。

来源与核查日期

• Cursor：Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313)

核查日期：2026-11-01（新加坡时间）。IoC与修复脚本以Cursor通告实时页面为准；本文仅供防御排查，不构成入侵检测产品替代方案。