微软拆解经 Cursor 扩展市场分发的篡改版 Claude Code 扩展：2.1.312 和 2.1.313 植入 SSH 公钥、反向隧道和持久化
这是一次针对编码工具分发渠道的供应链攻击，文章给出了载荷的每一步和排查、清理的具体做法。
// 要点
- Cursor 于 10 月 29 日报告，其扩展市场在太平洋时间约 2:27 至 13:35 提供了篡改过的 anthropic.claude-code 2.1.313 和 2.1.312；微软确认这些包从未出现在 Visual Studio Marketplace 和 npm 上，Anthropic 表示这个包不是它开发的。
- 加载器在模块加载时收集主机名、用户名、系统、目录和全局 Git 邮箱，向 authorized_keys 追加标为 svc-telemetry 的公钥、尝试开启 SSH 服务、建立指向本机 22 端口的反向隧道，并装上持久化（macOS 用 LaunchAgent，Linux 用 @reboot crontab，Windows 用计划任务或启动文件夹脚本），SSH 退出后 60 秒重试。
- 它上报名称含 _KEY、TOKEN、SECRET、PASS、AWS、GCP 等字样的环境变量名，最多 40 个，只有名称不含值；Cursor 称管理员权限要求让大多数 macOS 和 Windows 主机上的 SSH 访问没有成功，但公钥和持久化仍可能已经落地。
- 建议：检查 authorized_keys 中的 svc-telemetry 公钥并按指纹确认后删除，移除扩展和持久化项，必要时轮换凭据；扩展只允许白名单发布者，并给新版本设置安装冷静期。
开发者视角卸载或升级扩展清不掉持久化，所以我会今天就让团队里用 Cursor 的人检查一遍 authorized_keys，而不是只看扩展版本。更长远的动作是给编辑器扩展加发布者白名单和新版本冷静期：编码智能体手里握着仓库和云凭据，扩展市场本身就是供应链；和 10-31 GitHub Actions 锁文件那条是同一个道理，锁住来源比相信名字可靠。