突发：Cursor 自家扩展市场里出现了被投毒的 Claude Code VS Code 扩展。这个恶意版本在太平洋时间 2026 年 10 月 29 日约… · @mylifcc · TwKit

@mylifcc

突发：Cursor 自家扩展市场里出现了被投毒的 Claude Code VS Code 扩展。这个恶意版本在太平洋时间 2026 年 10 月 29 日约 2:27am 到 1:35pm 期间上架，最多影响约 5000 名用户。 这个拓展在 extension.js 开头插入了约 66 行恶意加载器，扩展一加载（不需要和 Claude 对话）就会执行： - 收集主机信息：主机名、用户名、OS、架构、home 路径、环境变量名（含 KEY/TOKEN/SECRET/PASS/AWS/GCP 等）、工作目录、Git 邮箱、公网 IP。 - 往 ~/.ssh/authorized_keys 追加攻击者的 SSH 公钥（注释为 svc-telemetry）。 - 尝试开启本机 SSH 服务并建立反向隧道到 134.209.82.225（C2 已下线）。 - 做持久化：macOS 用 LaunchAgent、Windows 用计划任务 SysMon 或启动项、Linux 用 crontab。脚本大约每 60 秒重试一次。 - 通过 HTTP POST 向攻击者服务器的 8099 端口上报信息。

曝光 620 · 评论 0 · 点赞 1 · 书签 1