Phorion 的安全研究人员在 Cursor Marketplace 上托管的官方 Claude Code for VS Code 扩展包中发现了一个严重的受损情况。该恶意版本被识别为 2.1.313，包含一个旨在在 macOS、Linux 和 Windows 系统上建立持久性安全外壳（SSH）访问的后门。由于 VS Code 扩展与 IDE 和用户拥有相同的权限，受损模块在被宿主应用程序加载后，即可立即获得对本地文件、源代码和开发工具的访问权限。
此图像作为有关受损扩展包的安全公告的视觉锚点。
此图标与受损扩展可访问的开发工具和源代码有关。
感染链始于在压缩后的扩展包前插入的一个立即执行函数表达式（IIFE）。此代码在扩展的标准激活逻辑之前执行，使其能够在没有任何用户交互的情况下运行。该有效载荷首先修改用户的 `~/.ssh/authorized_keys` 文件，通过追加攻击者控制的 Ed25519 公钥来实现。随后，它尝试启用本地 SSH 守护进程。虽然该恶意软件包含在 macOS、Linux 和 Windows 上启用远程登录的逻辑，但研究人员注意到 macOS 上存在一个特定的实现漏洞：当在没有 root 权限的情况下运行时，脚本无法正确解析 `systemsetup` 命令的输出，这可能会阻止在某些系统上自动启用 SSH。
除了本地配置外，该恶意软件还建立了一个指向远程服务器（134.209.82.225）的反向 SSH 隧道。它使用嵌入的私钥进行身份验证，并设置端口转发，允许攻击者通过攻击者服务器上的动态分配端口连接到受害者的机器。为了确保隧道在重启后仍能存活，脚本会安装特定平台的持久性机制，例如 macOS 上的 LaunchAgent 或 Windows 上的计划任务。最后，脚本执行主机侦察，将受害者的主机名、操作系统架构以及环境变量名称列表（特别是匹配 `KEY`、`TOKEN` 或 `SECRET` 等模式的变量）发送到攻击者的基础设施，以识别可供进一步利用的高价值目标。
Cursor 此后已从其市场中移除受损版本，并从 NPM 和 VS Code 注册表中撤回了受影响的版本。然而，安全研究人员警告称，从市场中移除扩展并不能修复已经被该包感染的机器。建议组织审计其环境是否存在 2.1.313 版本，并监控 SSH 配置文件是否存在未经授权的修改，或是否存在意外创建的 LaunchAgents 和计划任务。