Phiên bản Claude Code extension bị cài Trojan nhắm vào người dùng Cursor với backdoor SSH

Vào ngày 29 tháng 10 năm 2026, các nhà nghiên cứu an ninh mạng đã xác định một phiên bản Claude Code extension chính thức của Anthropic bị cài Trojan, được phân phối thông qua marketplace của IDE Cursor. Bản cập nhật độc hại này giả mạo phiên bản hợp lệ 2.1.313, cố gắng cài đặt một backdoor SSH bền vững trên các hệ thống bị ảnh hưởng trước khi Cursor đóng cửa marketplace để ngăn chặn sự cố.

Chuyện gì đã xảy ra

Kẻ tấn công đã chèn một loader độc hại vào bundle JavaScript chính của extension Claude Code, phân phối nó dưới danh tính nhà xuất bản và ID extension hợp lệ của Anthropic. Cuộc tấn công chuỗi cung ứng này nhắm cụ thể vào người dùng IDE Cursor, không có bằng chứng cho thấy gói bị xâm nhập đã tiếp cận Microsoft’s VS Code Marketplace hoặc Open VSX. Cursor xác nhận rằng tối đa 5.000 người dùng đã bị ảnh hưởng trong khoảng thời gian ngắn mà phiên bản độc hại tồn tại.

Sự cố xảy ra giữa khoảng 2:27 sáng và 1:35 chiều (giờ PT) vào ngày 29 tháng 10 năm 2026. Sau khi phát hiện, Cursor tạm thời đình chỉ marketplace để gỡ bỏ gói bị xâm nhập và bắt đầu thông báo trực tiếp cho những người dùng bị ảnh hưởng. Anthropic sau đó đã phát hành phiên bản 2.1.314 trên các kênh chính thức để thay thế bản build bị nhiễm độc. Phương pháp chính xác mà kẻ tấn công sử dụng để chèn mã vào pipeline extension hợp lệ vẫn chưa rõ ràng, dấy lên lo ngại về bảo mật của các kênh phân phối bên thứ ba dành cho công cụ phát triển.

Jenn Gile, đồng sáng lập OpenSourceMalware, lưu ý rằng gói phần mềm tự nhận là extension anthropic.claude-code chính hãng nhưng chứa một loader độc hại dài 66 dòng được chèn trước mã hợp lệ. Kỹ thuật này cho phép malware thực thi payload của nó trong khi vẫn chạy các chức năng mong đợi, khiến việc phát hiện trở nên khó khăn hơn đối với những người dùng không kiểm tra cấu trúc mã nguồn bên dưới.

Cách hoạt động

Extension độc hại kích hoạt khi khởi động VS Code và khi mở webview của nó. Nó ngay lập tức cố gắng thêm khóa SSH do kẻ tấn công kiểm soát vào tệp ~/.ssh/authorized_keys của người dùng, dán nhãn là "svc-telemetry" để hòa lẫn với các tài khoản dịch vụ hợp lệ. Sau đó, malware cố gắng kích hoạt dịch vụ SSH cục bộ và thiết lập một đường hầm ngược tới máy chủ điều khiển và chỉ huy (command-and-control server) tại địa chỉ 134.209.82[.]225.

Để đảm bảo tính bền vững, malware cài đặt các cơ chế đặc thù theo nền tảng: tác vụ theo lịch trình (scheduled tasks) trên Windows, mục crontab trên Linux và LaunchAgents trên macOS. Nó cũng gửi dữ liệu trinh sát tới máy chủ của kẻ tấn công qua HTTP không mã hóa trên cổng 8099. Mặc dù việc kích hoạt SSH yêu cầu quyền quản trị viên, có thể thất bại trên nhiều host macOS và Windows, malware vẫn thành công trong việc thêm khóa SSH và thiết lập tính bền vững bất kể mức độ đặc quyền.

Beacon truyền tải thông tin nhạy cảm về host, bao gồm địa chỉ IP công khai, hostname, hệ điều hành và kiến trúc CPU. Quan trọng nhất, nó đánh cắp tên của tối đa 40 biến môi trường chứa các từ khóa như KEY, TOKEN, SECRET, PASS, AWS hoặc GCP. Mặc dù giá trị không được gửi trong beacon ban đầu, tên các biến tiết lộ sự hiện diện của thông tin đăng nhập đám mây và cấu hình hệ thống CI, cung cấp một lộ trình cho các cuộc khai thác sâu hơn nếu truy cập SSH thành công.

Chi tiết chính

• Phiên bản bị ảnh hưởng: Chỉ phiên bản 2.1.313 được phân phối qua Cursor Marketplace bị xâm nhập; các phiên bản trên Microsoft VS Code Marketplace và Open VSX không bị ảnh hưởng.
• Phạm vi tác động: Tối đa 5.000 người dùng đã cài đặt bản cập nhật độc hại giữa 2:27 sáng và 1:35 chiều (giờ PT) vào ngày 29 tháng 10 năm 2026.
• Cơ chế bền vững: Malware sử dụng scheduled tasks, crontabs và LaunchAgents để duy trì quyền truy cập qua các lần khởi động lại trên Windows, Linux và macOS.
• Đánh cắp dữ liệu: Gửi dữ liệu trinh sát host và tên biến môi trường tới 134.209.82[.]225:8099 qua HTTP không mã hóa.
• Backdoor SSH: Cố gắng thêm một khóa do kẻ tấn công kiểm soát, dán nhãn "svc-telemetry", vào ~/.ssh/authorized_keys và thiết lập một đường hầm ngược.
• Khắc phục: Anthropic đã phát hành phiên bản sạch 2.1.314; Cursor đang liên hệ trực tiếp với những người dùng bị ảnh hưởng.

Tại sao quan trọng

Sự cố này làm nổi bật những rủi ro vốn có khi phụ thuộc vào các marketplace bên thứ ba cho các công cụ phát triển quan trọng. Ngay cả khi nhà cung cấp phần mềm gốc có uy tín, kênh phân phối vẫn có thể trở thành một điểm lỗi đơn lẻ. Đối với các nhóm kỹ thuật, điều này nhấn mạnh nhu cầu về các thực hành bảo mật chuỗi cung ứng nghiêm ngặt, bao gồm xác minh checksum và giám sát các bản cập nhật bất ngờ trong các pipeline tự động. Việc malware giả mạo ID cập nhật hợp lệ khiến nó đặc biệt nguy hiểm cho những người dùng bật tính năng tự động cập nhật.

Việc đánh cắp tên biến môi trường là một mối đe dọa đáng kể đối với phát triển cloud-native hiện đại. Mặc dù kẻ tấn công không ngay lập tức đánh cắp giá trị thông tin đăng nhập, việc biết những bí mật nào tồn tại trong môi trường của nhà phát triển cho phép tấn công phishing có mục tiêu hoặc khai thác sâu hơn nếu backdoor SSH thành công. Đối với các trưởng nhóm kỹ thuật, đây là lời nhắc nhở phải áp dụng nguyên tắc đặc quyền tối thiểu (least-privilege) và thường xuyên xoay vòng thông tin đăng nhập, đặc biệt là những thông tin được lưu trữ trong biến môi trường cục bộ.

Bạn có thể làm gì

• Kiểm tra cài đặt của bạn: Xác minh xem bạn có cài đặt Claude Code phiên bản 2.1.313 từ Cursor Marketplace giữa 2:27 sáng và 1:35 chiều (giờ PT) vào ngày 29 tháng 10 năm 2026 hay không.
• Cô lập các host bị ảnh hưởng: Nếu nghi ngờ nhiễm bệnh, hãy ngắt kết nối máy khỏi mạng để ngăn chặn việc đánh cắp dữ liệu thêm hoặc truy cập từ xa.
• Gỡ bỏ các artifact độc hại: Xóa khóa SSH trái phép dán nhãn "svc-telemetry" khỏi ~/.ssh/authorized_keys và loại bỏ bất kỳ scheduled task, crontab hoặc LaunchAgent lạ nào.
• Xoay vòng thông tin đăng nhập: Ngay lập tức xoay vòng tất cả API key, token và secret được lưu trữ trong biến môi trường, đặc biệt là những thông tin liên quan đến AWS, GCP hoặc hệ thống CI.
• Cập nhật lên phiên bản an toàn: Cài đặt phiên bản sạch 2.1.314 của Anthropic từ Microsoft VS Code Marketplace hoặc Open VSX thay vì Cursor Marketplace.
• Giám sát các bất thường: Xem xét nhật ký mạng cho các kết nối outbound tới 134.209.82[.]225 và giám sát nhật ký SSH cho các nỗ lực đăng nhập trái phép.