공식 Claude Code 확장 업데이트 한 번에 SSH 백도어 — Cursor 마켓플레이스 변조 사건 2분 정리

공식 Claude Code 확장 업데이트 한 번에 SSH 백도어 — Cursor 마켓플레이스 변조 사건 2분 정리

10월 29일 Cursor 마켓플레이스에 Anthropic 이름으로 올라온 Claude Code 2.1.312 · 2.1.313은 변조된 빌드였습니다. 약 11시간 동안 최대 5,000명이 받았고, 설치되면 PC 정보 전송 · SSH 키 추가 · 예약 작업 등록이 이뤄졌습니다.

■ 감염 확인 (macOS)
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "감염 의심" || echo "OK"
→ 흔적이 있으면 Cursor 공지의 복구 스크립트 실행, 토큰·비밀번호는 깨끗한 PC에서 교체

■ 재발 방지 — 팀
- Cursor 팀 설정: Marketplace Install Cooldown (예: 24시간)
- Allowed extensions: 승인한 퍼블리셔 · 확장 ID만 설치
- Require Extension Signature Verification 켜기

■ 재발 방지 — 개인
- 확장 자동 업데이트 끄기: "extensions.autoUpdate": false
- 안 쓰는 확장 삭제
- macOS 원격 로그인 끄기 (설정 › 일반 › 공유)

■ AI 에이전트용 감염 확인 프롬프트 (읽기 전용)
Cursor 마켓플레이스의 Claude Code 확장(anthropic.claude-code 2.1.312 · 2.1.313) 공급망 공격에 이 PC가 감염됐는지 점검해 줘.
파일을 지우거나 고치지 말고, 읽기 전용 명령만 실행해.

1. ~/.ssh/authorized_keys 에 "svc-telemetry" 라벨이 붙은 키가 있는지
2. 지속성 흔적
- macOS: ~/Library/LaunchAgents/com.apple.sysmond.plist, $TMPDIR/.stk_* 파일
- Linux: crontab -l 의 @reboot 항목, ~/.config/.smt, ~/.config/.smtk, /tmp/.stk_* 파일
- Windows: 예약 작업 SysMon, %USERPROFILE%\.config\smt.cmd,
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\sysmon.cmd
3. 134.209.82.225 로 연결된 프로세스, 실행 중인 "ssh -N -R" 또는 autossh 프로세스
4. Cursor와 VS Code에 설치된 anthropic.claude-code 확장의 버전

항목별로 "발견 / 없음 / 확인 불가"와 근거(실행한 명령, 출력 요약)를 표로 정리해 줘.
하나라도 발견되면 Cursor 보안 공지(https://cursor.com/ko/blog/claude-code-extension-security-notice)의
복구 절차를 안내만 하고, 직접 지우지는 마.

■ AI 에이전트용 보안 설정 프롬프트 (승인 후 적용)
Cursor와 VS Code 확장 공급망 공격에 대비해 이 PC 설정을 점검하고 바꿔 줘.
무엇이든 바꾸기 전에 변경할 파일과 내용을 먼저 보여 주고 내 승인을 받아.

1. Cursor와 VS Code의 사용자 settings.json 에 "extensions.autoUpdate": false 추가
2. 설치된 확장 목록을 퍼블리셔와 함께 표로 정리하고, 내가 지울 확장을 고르게 해 줘
3. macOS라면 원격 로그인(SSH) 상태를 확인하고, 켜져 있으면 끄는 방법을 안내해 줘
4. 팀 관리자용으로 Cursor 팀 설정의 Marketplace Install Cooldown, Allowed extensions,
Require Extension Signature Verification 위치와 권장값을 정리해 줘
(참고: https://cursor.com/docs/configuration/extensions)

■ 출처
Cursor 보안 공지: https://cursor.com/ko/blog/claude-code-extension-security-notice
Cursor 확장 문서: https://cursor.com/docs/configuration/extensions
Anthropic 입장 (Hacker News): https://news.ycombinator.com/item?id=50304129
Hacker News 스레드: https://news.ycombinator.com/item?id=50302334
Socket 분석: https://socket.dev/blog/claude-code-extension-compromise
Microsoft Security Blog: https://www.microsoft.com/en-us/security/blog/2026/10/30/inside-malicious-claude-code-branded-cursor-extension-persistent-ssh-backdoor/
The Register: https://www.theregister.com/cyber-crime/2026/10/30/anthropic-that-claude-code-extension-compromise-couldnt-be-us/5306682

화면 속 웹페이지는 2026년 11월 1일 실제 페이지를 캡처한 것입니다. Hacker News 페이지는 가독성을 위해 글자 크기만 키웠습니다.
폰트: 페이퍼로지(Paperlogy), JetBrains Mono (SIL OFL)

#ClaudeCode #Cursor #보안 #공급망공격 #OpenVSX