Cursor는 개발자 컴퓨터에 영구 SSH 백도어를 설치하도록 패키지가 수정된 것을 발견한 후 확장 시장에서 Anthropic의 Claude Code 확장의 악성 버전을 제거했습니다. Cursor는 10월 29일에 발표된 보안 공지에서 Anthropic.claude 코드 버전 2.1.313으로 나열된 트로이 목마 패키지가 Anthropic에서 개발한 것이 아니며 최대 5,000명의 사용자가 영향을 받았다고 밝혔습니다. Reuters에 따르면 회사는 해당 사용자에게 직접 연락하고 있습니다.

이 공개는 이제 AI 코딩 도구 개발자가 소스 코드, 자격 증명 및 셸 액세스를 신뢰하는 자체가 공급망 대상이라는 사실을 상기시키는 충격적인 알림입니다. AI 개발자 도구와 관련된 보안 압력에 대한 자세한 내용은 AI 산업 보도를 참조하세요.

2시간 배포 창

Cursor의 타임라인에 따르면 확장 프로그램의 악성 버전은 대략 오전 2시 27분(태평양 표준시)부터 오후 1시 35분 사이에 시장에 출시되었습니다. 10월 29일 PT — 약 11시간의 기간입니다. 해당 기간 동안 Claude Code 확장 버전 2.1.313을 설치하거나 업데이트한 개발자는 Anthropic에서 생성한 코드가 아닌 변조된 패키지를 받았습니다.

Cursor는 탐지 즉시 악성 버전을 마켓플레이스에서 제거하고 추가 배포를 차단했다고 밝혔습니다. 그런 다음 회사는 한 단계 더 나아가서 많은 주의를 기울인다는 이유로 전체 확장 시장을 일시적으로 폐쇄했습니다.

악성 확장 프로그램이 수행한 작업

Cursor의 보안 팀은 확장 프로그램의 동작을 특이하게 자세히 문서화했습니다. 일단 설치되면 패키지는 여러 단계를 통해 영구 백도어 설정을 시도하는 코드를 실행했습니다.

  • 정찰. 확장 프로그램은 시스템의 호스트 이름, 사용자 이름, 운영 체제, 아키텍처, 홈 디렉터리 경로, 환경 변수 이름, 작업 디렉터리, 구성된 Git 이메일 및 공용 IP 주소를 수집했습니다.
  • SSH 키 삽입. 공격자가 제어하는 ​​SSH 키를 시스템의 'authorized_keys' 파일에 추가하고, 로컬 SSH 서비스를 활성화하고, 공격자가 제어하는 ​​서버로 다시 역방향 SSH 터널을 열려고 시도했습니다.
  • 지속성. 백그라운드 스크립트는 대략 60초마다 역방향 터널을 다시 시도했습니다. macOS에서 악성코드는 LaunchAgent를 통해 터널을 지속시키려고 했습니다. Windows에서는 시작 스크립트 폴백을 사용하여 SYSTEM으로 실행되는 예약된 작업을 등록하려고 시도했습니다.
  • 비커닝. 감염된 시스템은 포트 8099의 '/beacon' 엔드포인트에 대한 HTTP POST 요청을 통해 호스트 세부 정보와 백도어 상태를 보고했습니다.

피해가 제한되는 이유

두 가지 중요한 완화 요소가 있습니다. 첫째, 로컬 SSH 서비스를 활성화하려면 관리자 권한이 필요하지만 악성 확장 프로그램에는 대부분의 macOS 및 Windows 시스템에 없는 관리자 권한이 있습니다. Cursor는 편집기가 관리자 권한으로 시작된 매우 특이한 상황을 제외하고 악성 코드의 오류로 인해 이 단계가 실패했다고 지적했습니다. 즉, 공격자가 해당 호스트의 터널을 통해 로그인할 수 없을 가능성이 높습니다. 그러나 확장 프로그램은 여전히 ​​공격자의 SSH 키를 추가하고, 지속성 메커니즘을 설치하고, 호스트 세부 정보를 공격자의 서버에 보냅니다.

둘째, 공격자의 인프라가 이제 오프라인 상태입니다. Cursor는 C&C 서버를 호스팅하는 클라우드 제공업체와 협력하여 이를 중단시켰기 때문에 리버스 셸과 호스트 세부 정보 비콘이 더 이상 작동하지 않는다고 말했습니다.

회사는 또한 확장 프로그램의 다른 버전이나 Anthropic의 공식 유통 채널이 영향을 받았다는 증거가 없다고 밝혔습니다.

마켓플레이스 폐쇄, 감사 및 재구축

Cursor의 응답은 단일 불량 패키지를 제거하는 것 이상이었습니다. 회사는 마켓플레이스 액세스에 대한 전체 감사를 실시했으며 다른 확장 프로그램이 변조되지 않았으며 키를 순환하고 마켓플레이스 인프라를 재구축하여 다시 온라인으로 전환한 적이 없음을 확인했다고 밝혔습니다. 노출 기간 동안 버전 2.1.313을 설치하거나 업데이트한 개발자는 Cursor가 공지와 함께 게시한 SSH 활동, 파일 및 지속성 메커니즘, 프로세스 활동을 다루는 문제 해결 단계 및 손상 지표를 따라야 합니다.

AI 툴링 생태계에 대한 경고

이 사건은 AI 지원 개발의 경제성이 공격자의 계산 방식을 어떻게 변화시켰는지 보여줍니다. 널리 사용되는 확장 프로그램의 단일 트로이 목마 버전은 몇 시간 동안 작동하며 잠재적으로 수천 개의 개발자 워크스테이션(일반적으로 소스 코드, 클라우드 자격 증명 및 프로덕션 시스템에 대한 액세스를 보유하는 시스템)에 도달할 가능성이 있습니다.

또한 공식 유통 채널과 제3자 마켓플레이스의 차이점을 강조합니다. Anthropic의 Claude Code 확장은 기존 채널을 통해 배포되지만 Cursor는 VS Code 기반 편집기를 위한 자체 마켓플레이스를 운영하며 손상된 것은 해당 마켓플레이스의 목록이었습니다. AI 코딩 도우미가 소프트웨어 산업 전반에 걸쳐 표준 장비가 되면서 이를 배포하는 레지스트리의 무결성은 그 자체로 보안 경계가 되었습니다. 이번 주까지 감사를 고려한 조직은 비교적 소수였습니다.

영향을 받는 최대 5,000명의 사용자에 대해 즉각적인 우선순위는 Cursor의 교정 체크리스트를 통해 실행됩니다. 다른 모든 사람들에게 이 에피소드는 어떤 확장 프로그램이 개발 환경에 깊이 액세스할 수 있는지 검토하고 업데이트를 자동으로 설치하기 전에 두 번 생각해야 하는 이유입니다.
---

AI보다 앞서 나가세요

최신 AI 뉴스, 분석, 획기적인 소식을 모두 한 곳에서 받아보세요.

AI 뉴스 자세히 보기 →