Cursor Marketplace の改ざん Claude Code 拡張に SSH バックドア｜2.1.313 削除

改ざん版の Claude Code 拡張（[email protected]）に、SSH バックドアを仕掛ける悪意あるローダーが前置されていた——この検体の挙動を最初に報告したのは研究者 Paul McCarty（OpenSourceMalware）でした。その後、Cursor が公式のセキュリティ通知を出し、この版が自社の VS Code 拡張マーケットプレイス経由で配布されたことを確認しました。Cursor は「この悪意あるバージョンは Anthropic が開発したものではない」と明記しています。配布は2026年10月29日の約11時間（太平洋時間の午前2:27頃〜午後1:35頃）で、影響は最大約5000名、該当ユーザーには Cursor から直接連絡するとしています。

公式 npm の @anthropic-ai/claude-code は別物でクリーンで、他バージョンや公式配布版が影響を受けた証拠はありません。Open VSX・npm にも 2.1.313 の公開記録はありません（Socket のレジストリ調査）。当サイトは特定のベンダーを擁護も非難もしません。開発ツールを騙る/改ざんする攻撃の全体像はサプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説に、関連の事例はBlack October 2026やClaude Code・Codex を狙う AGENTS.md／CLAUDE.md 攻撃にまとめています。この記事は、何が起きたか・実際の影響・公式の確認と修復を、Cursor の通知を軸に中立に整理します。攻撃を再現する手順（PoC）は載せません。

何が起きたか：正規バンドルの前に置かれた66行

展開された拡張は見た目も同梱バイナリも公式版と同じで、違いは extension.js だけです。その先頭に、Node.js の process・fs・os・http・crypto を読み込む自己実行関数（IIFE）が66行ぶん前置され、本来の拡張コードより先に実行されます。配置が巧妙で、ユーザーが Claude との会話を始める必要はなく、拡張モジュールがロードされるだけで発火します。ライフサイクルフック（install / postinstall など）は宣言されておらず、悪意ある動作はパッケージマネージャのフックではなく拡張の実行時に起きます。

ローダーはほぼすべての例外を握り潰すため、途中で失敗しても正規拡張は普通に動いて見え、侵害の兆候が目立ちません。起動直後に、ホスト名・ユーザー名・OS・アーキテクチャ・ホーム/作業ディレクトリ・設定済みの Git メール・公開 IP、そして KEY・TOKEN・SECRET・PASS・AWS・GCP を含む環境変数名を集めます（値ではなく名前を集めるため、通常の DLP では検知しにくい）。

事件の時系列と Cursor の対応

Cursor の通知によると、改ざん版 2.1.313 は太平洋時間の10月29日 午前2:27頃から午後1:35頃まで、同社のマーケットプレイスで公開されていました。この約11時間の間にインストールまたは更新したユーザーが対象です。

Cursor は検出後ただちに拡張を削除して以降の配布をブロックし、万全を期して VS Code マーケットプレイスを全面的に停止。他の拡張が改ざんされていないか監査し、鍵をローテーションしてマーケットプレイスを再構築したうえでサービスを再開しました。さらにホスティングプロバイダーと連携して攻撃者のサーバをオフライン化し、同サーバへの接続をブロックしています。これにより、逆シェルとホスト情報の POST は機能しません。

実際の影響：ログインは大半で失敗、でも鍵と永続化は残る

ここが見落とされやすい点です。バックドアは SSH を中核にしますが、ローカルの SSH サービスを有効にするには管理者権限が必要で、ほとんどの macOS / Windows ホストでは悪意ある拡張にその権限がありません。そのため SSH 有効化と逆トンネル経由のログインは失敗します（Cursor を管理者権限で起動していた極めて稀なケースを除く）。つまり「誰でも即座に乗っ取られた」わけではありません。

一方で、攻撃者の SSH 鍵（svc-telemetry）の追加・永続化の仕組みのインストール・ホスト情報の外部送信は実行されます。収集された情報が限定的でも、その後にバックドア経由で資格情報へ到達された可能性は否定できません。だから「ログインされていないから大丈夫」ではなく、痕跡があれば必ず修復が必要です。

逆トンネルそのものの狙いは、NAT やファイアウォールの内側にいる開発者マシンへ外から入ることにあります。被害者側から外へつながせ、攻撃者は自分のサーバのポートに入るだけで被害者の SSH に届く、という設計です（下図）。今回はその入口（SSH 有効化）が多くの環境で成立せず、さらに攻撃者サーバも停止されたため、トンネルは実際には機能していません。

配布元は Cursor マーケットプレイスだけ

配布元として確定しているのは Cursor のマーケットプレイスです。一方、Open VSX の変更フィードにも npm の公開時刻記録にも 2.1.313 は存在しません（隣接する 2.1.312・2.1.314 は記録あり。90秒で削除された版ですら記録は残る、と Socket）。Microsoft 公式の VS Code Marketplace も影響を受けた証拠はありません。公式 npm @anthropic-ai/claude-code は別物でクリーンで、Anthropic の中核インフラが破られた証拠もありません。

確認と修復：Cursor 公式のコマンドとスクリプト

まず Cursor の拡張一覧で版を確認し、2.1.313 が入っていないかを見ます。Cursor は影響の有無を判定する確認コマンドを公開しています（svc-telemetry という攻撃者鍵のコメントを探すもの）。

# macOS（Cursor 公式の確認コマンド）
grep -qs svc-telemetry ~/.ssh/authorized_keys \
  && echo "svc-telemetry key found" \
  || echo "No key found; machine not impacted"

Windows は PowerShell で ~\.ssh\authorized_keys と C:\ProgramData\ssh\administrators_authorized_keys を svc-telemetry で検索します。鍵が見つかれば影響を受けています。その場合は痕跡のあるホストを隔離し、Cursor が配布する修復スクリプト（remediate-macos.sh / remediate-windows.ps1）を実行します。これらは悪意ある拡張・永続化・実行中のトンネル・攻撃者鍵を削除し、残っていれば non-zero で終了します。あわせて、被害ホストから到達できる認証情報とセッションを信頼できる別環境からローテーションしてください。拡張のアンインストールだけでは不十分です（永続化スクリプトは拡張削除後も動きます）。最も確実なのはホストの再構築です。

主な侵害の痕跡（IOC）は次のとおりです（権威ある最新版は Cursor の通知を参照）。

まとめ

参照ソース

• Cursor 公式 — セキュリティに関するお知らせ（Anthropic.claude-code 2.1.313）（配布元・時系列・影響・確認コマンド・修復スクリプト・IOC の一次情報。2026-10-30）
• Socket Research Team — Cursor Removes Malicious Claude Code 2.1.313 Extension From Its Marketplace（レジストリ記録の検証。Open VSX・npm に 2.1.313 の記録が無いことを提示。2026-10-30）
• OpenSourceMalware — Trojanized Claude Code extension plants persistent SSH backdoor（検体の挙動解析と IOC。2026-10-30）
• サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説（開発ツールを狙う供給網攻撃の全体像）