Extension Claude Code giả trên Cursor: 3 bước gỡ khóa SSH

Hai bản giả của extension Claude Code, 2.1.312 và 2.1.313, nằm trên chợ extension của Cursor khoảng 11 giờ ngày 29/10/2026. Chúng cài một khóa SSH của kẻ tấn công vào máy bạn. Tôi không chạy payload. Mọi chi tiết dưới đây lấy từ báo cáo của Cursor, ThreatDefence và ShiftDelete.

Bản giả lan qua chợ extension của Cursor như thế nào

Cursor cho biết có tối đa 5.000 người cài bản độc hại. Cửa sổ phát tán là khoảng 09:27 đến 20:35 UTC ngày 29/10/2026. Anthropic nói họ không build bản này.

Báo cáo đầu tiên nói nguồn là Open VSX và chỉ ảnh hưởng Mac chip Apple. Bản đính chính của ThreatDefence sửa lại: bản giả đến từ chợ của chính Cursor, và ảnh hưởng cả macOS lẫn Windows. Báo cáo còn khác nhau về phạm vi. Phorion và StepSecurity nói bản này cũng xuất hiện trên Open VSX, còn The Hacker News không thấy bằng chứng. Vì vậy phần "Open VSX" vẫn là điểm chưa chốt.

Cách bản giả được đăng dưới đúng ID anthropic.claude-code thì chưa ai giải thích được.

Theo StepSecurity, payload là một loader 7.386 byte gắn trước bundle 2.1.312 sạch, phần còn lại giống từng byte. Nó không tải giai đoạn hai. Gói "2.1.313" vẫn tự khai 2.1.312 bên trong; số cao hơn chỉ nằm trong manifest.

*Ảnh: Pavel Danilyuk, Pexels, giấy phép Pexels, ngày đăng trên Pexels 2020-09-19. Bàn tay lập trình viên gõ mã nguồn điều khiển hệ thống trên laptop.*

Bản vá 2.1.314 không tự xóa được cửa hậu

Cursor đã gỡ cả hai bản và ra bản sạch 2.1.314. Nhưng nâng cấp không dọn được những gì payload đã để lại. Cursor cảnh báo gỡ extension là không đủ, vì các script độc lập vẫn chạy.

Payload làm bốn việc ngay khi Cursor nạp extension, không cần bạn gọi Claude:

• Thu thập tên máy, tên người dùng, hệ điều hành, thư mục home và email Git. Sau đó nó gửi kèm IP công khai và tên biến môi trường tới 134.209.82.225 qua HTTP thường.
• Thêm khóa SSH nhãn svc-telemetry vào authorized_keys.
• Cố bật dịch vụ SSH và mở đường hầm SSH ngược về máy chủ kẻ tấn công.
• Cài persistence thử lại mỗi 60 giây: LaunchAgent com.apple.sysmond trên macOS, tác vụ SysMon trên Windows.

Hai yếu tố giảm thiệt hại. Bật dịch vụ SSH cần quyền admin, thứ mà extension thường không có. Máy chủ của kẻ tấn công cũng đã bị hạ. Nhưng khóa, persistence và báo cáo máy vẫn được ghi, nên mọi máy trong phạm vi đều phải dọn.

*Ảnh: Tima Miroshnichenko, Pexels, giấy phép Pexels, ngày đăng trên Pexels 2020-07-30. Chuyên viên kỹ thuật kiểm tra cấu trúc dữ liệu trên màn hình máy trạm.*

3 bước gỡ khóa SSH và dọn sạch dấu vết

Chỉ áp dụng nếu bạn cài hoặc cập nhật extension Claude Code trong Cursor trong cửa sổ thời gian trên.

Bước 1. Trên Mac:

grep -s svc-telemetry ~/.ssh/authorized_keys
ls -la ~/.config/.smt ~/.config/.smtk ~/Library/LaunchAgents/com.apple.sysmond.plist
ls -d ~/.cursor/extensions/anthropic.claude-code-2.1.31[23]* 2>/dev/null

Trên Windows (PowerShell), kiểm cả C:\ProgramData\ssh\administrators_authorized_keys:

$keys = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($keys) { Select-String -Path $keys -Pattern svc-telemetry }
Get-ScheduledTask -TaskName SysMon -ErrorAction SilentlyContinue

Bước 2. Script dọn có hai bản. remediate-macos.sh chạy bằng tài khoản thường, remediate-windows.ps1 chạy từ PowerShell quyền admin. Cả hai được Cursor dẫn link trong thông báo. Chúng gỡ extension, persistence, tiến trình đường hầm và khóa của kẻ tấn công. Nếu đường hầm từng kết nối hoặc SSH đang chạy sẵn, ThreatDefence khuyên dựng lại máy.

Bước 3. Payload gửi tên biến môi trường, không gửi giá trị, theo StepSecurity. Nhưng nếu đường hầm đã nối, kẻ tấn công có shell. Đổi từ máy sạch: khóa SSH, token Git và CI/CD, khóa registry, khóa đám mây.

Với đội ngũ, thêm một lớp: chặn 134.209.82.225 ở tường lửa, mọi cổng, vì persistence vẫn thử gọi về.

*Ảnh: Pavel Danilyuk, Pexels, giấy phép Pexels, ngày đăng trên Pexels 2021-06-22. Kỹ sư phần cứng kiểm tra cụm máy trạm và thiết bị xử lý dữ liệu.*

Cách khóa chuỗi cung ứng extension cho cả nhóm

Điểm mù lớn nhất là extension tự cập nhật. Một chợ bị xâm nhập thì bản "chính chủ" vẫn qua cửa. Việc nên làm:

• Ghim phiên bản extension quan trọng và kiểm băm trước khi bật tự cập nhật.
• Giám sát thay đổi authorized_keys trên máy dev; đây là tín hiệu mạnh của vụ này.
• Săn log từ ngày 29/10: kết nối ra TCP 22 hoặc 8099, và lệnh ssh -N -R khởi chạy từ thư mục .config.
• Không giao quyền admin cho tài khoản chạy IDE hằng ngày.

Rủi ro còn lại: chưa có CVE nào được gán, và cách kẻ tấn công đăng được bản giả vẫn chưa rõ. Cho tới khi có kết luận điều tra, hãy coi mọi cập nhật extension là mã chưa kiểm.

Nếu bạn đang tối ưu cấu hình Claude Code, đọc thêm tối ưu token Claude Code MCP và AI tự tìm lỗ hổng Linux kernel. Về kiểm soát quyền thực thi tự động, hãy xem bài agent đặt lịch và gửi email: ranh giới phê duyệt.

*Ảnh: Amina Filkins, Pexels, giấy phép Pexels, ngày đăng trên Pexels 2021-05-13. Nhân sự kỹ thuật rà soát thông số huấn luyện mô hình trên máy tính.*

— Hoàng Nam, thử trước khi bạn xuống tiền.