Cursor(커서) 확장 마켓에 변조된 Claude Code(클로드 코드) 확장 배포…최대 5천 명 피해
SSH 키·재시작 작업 심어 재감염. 확장 삭제만으론 불충분, authorized_keys 직접 점검 필수.
요약
10월 29일 약 11시간 동안 Cursor 확장 프로그램 마켓플레이스에서 Claude Code 확장 프로그램(버전 2.1.312, 2.1.313)의 변조된 파일이 배포되어 최대 5,000명의 사용자가 영향을 받은 것으로 확인되었습니다. 해당 악성 파일은 공격자의 SSH 키를 추가하고 리버스 터널을 시도하며 60초마다 재시도하는 시작 작업(startup job)을 설치했습니다. Cursor는 현재 마켓플레이스를 재구축하고 키를 교체했으나, 단순히 확장 프로그램을 삭제하는 것으로는 해결되지 않을 수 있어 주의가 필요합니다. Mac/Linux 사용자는 ~/.ssh/authorized_keys 내 'svc-telemetry' 확인 및 ~/.config/.smt, ~/.config/.smtk 파일 존재 여부를 점검해야 합니다. Windows 사용자는 authorized_keys 내 동일 키워드와 'SysMon'이라는 예약된 작업을 확인해야 합니다. 침해 징후 발견 시 즉시 기기를 격리하고 Cursor가 제공한 복구 스크립트를 실행하거나 기기를 재구축한 뒤, 신뢰할 수 있는 기기에서 모든 자격 증명 및 세션을 갱신해야 합니다.
AI가 원문을 요약한 내용으로, 부정확할 수 있습니다.
원문 제목 @godofprompt: Check your Cursor install today. For about 11 hours on October 29, Cursor's extension marketplace served tampered copies of the Cl
원문 보기 ↗