Cursor Marketplace의 Claude Code for VS Code 확장 프로그램에서 백도어 발견

Phorion이 Cursor Marketplace의 공식 Claude Code for VS Code 2.1.313 번들에서 지속적인 SSH 접근을 노리는 백도어를 발견함 악성 코드는 확장 프로그램의 정상 활성화 함수보다 먼저 실행되며, 공격자 SSH 공개키를 심고 외부 서버로 역방향 SSH 터널을 연결함 macOS, Linux, Windows용 지속성 설치 코드가 포함돼 있어 IDE를 닫거나 재부팅한 뒤에도 접근을 유지하려 함 macOS에는 SSH 활성화를 건너뛰는 버그가 있지만, SSH가 이미 켜져 있거나 나중에 켜지면 심어 둔 백도어를 이용할 수 있음 확장 프로그램 삭제만으로는 제거되지 않음. 해당 버전 사용 여부를 즉시 확인하고, 터널과 지속성 설정, SSH 키를 제거하며 조건에 따라 자격 증명을 교체해야 함 영향 범위와 실행 시점 Cursor Marketplace는 Cursor 편집기용 확장 프로그램을 배포하며, 확장은 IDE와 실행 사용자의 권한으로 동작함 백도어가 포함된 모듈이 로드되면 로컬 파일, 소스 코드, 개발 도구에 즉시 접근할 수 있음 Cursor는 문제가 된 릴리스를 마켓플레이스에서 제거했으며, 관련 레지스트리의 NPM 및 VSCode 2.1.313 버전도 회수함 감염된 extension.js 는 축소된 정상 번들 앞에 즉시 실행 함수(IIFE)가 삽입된 형태임 나머지 번들에는 Claude Code와 VS Code 문자열, 정상적인 activate와 deactivate 내보내기, UI 코드가 남아 있음 삽입 코드는 child_process, fs, os, path, http, crypto를 불러오며, Node가 파일을 로드하자마자 정상 activate 콜백보다 먼저 실행됨 사용자가 확장 프로그램과 상호작용할 필요가 없음 페이로드의 목표는 장기적인 대화형 접근이며, 분석은 macOS를 중심으로 Linux와 Windows의 차이도 확인함 1단계: SSH 인증 키 설치와 서비스 활성화 ~/.ssh를 만들고 공격자 소유 Ed25519 공개키를 ~/.ssh/authorized_keys에 추가함 디렉터리 권한은 0700, 파일 권한은 0600으로 설정함 중복 여부는 키 자체가 아니라 주석 svc-telemetry 의 존재로 판단하므로, 조사할 때는 주석뿐 아니라 공개키 지문을 확인해야 함 SSH가 실행 중이라면 대응하는 개인키 소유자가 해당 사용자로 인증할 수 있음 운영체제별로 SSH 서비스 활성화를...