Cursor 공지: 10월 29일 태평양 시간 새벽 2:27시부터 오후 1:35시까지, 해당 VS Code 확장 마켓의 Anthropic.claude-code 2.1.312 및 2.1.313(macOS, Windows 버전)은 악성으로 변조된 버전으로, Anthropic이 개발한 것이 아닙니다. 플러그인이 로드되면 호스트 이름, 사용자 이름, 시스템, 홈 디렉터리, 환경 변수 이름, Git 이메일 및 공개 IP를 수집하여 공격자에게 전송하고, 공격자의 SSH 공개 키(주석: svc-telemetry)를 authorized_keys에 기록하며, 로컬 SSH 활성화, 역방향 터널 구축을 시도하고, LaunchAgent 또는 작업 스케줄러를 통해 부팅 시 자동 실행을 설정합니다. Cursor는 해당 버전을 삭제하고 전체 마켓을 일시 중단하여 키를 교체한 후 복구했으며, 클라우드 서비스 제공업체와 협력하여 공격자의 서버를 폐쇄했습니다.
신뢰도: 높음(100) · 사건 발생 시간 2026-10-29
이유
- 이는 AI 코딩 도구 배포 채널에 대한 공급망 공격입니다. Ars Technica가 Phorion 및 독립 연구원 Kevin Beaumont를 인용한 바에 따르면, 악성 버전은 Cursor의 Anthropic 공식 인증 계정을 통해 게시되어 정상 버전을 덮어썼습니다. Cursor는 확장을 자동으로 업데이트하므로 사용자가 아무것도 하지 않아도 감염될 수 있습니다. 공격자가 이 계정을 어떻게 탈취했는지에 대해 Cursor와 Anthropic 모두 아직 설명하지 않았습니다.
- 플러그인은 IDE의 권한으로 실행되어 로컬 파일, 소스 코드 및 개발 도구를 읽을 수 있습니다. Phorion의 분석에 따르면, 환경 변수의 '이름'만(KEY, TOKEN, SECRET, AWS 등과 일치하는 항목, 최대 40개)을 수집하고 값은 수집하지 않아, 어떤 머신에 클라우드 자격 증명 및 API 토큰이 있는지 파악하여 후속 공격 대상을 선별하는 데 사용합니다.
- 코드에 결함이 있습니다. SSH 서비스 활성화에는 관리자 권한이 필요하므로 대부분의 macOS 및 Windows 머신에서는 이 단계가 실패하여 공격자가 터널을 통해 로그인할 수 없습니다. 그러나 공개 키, 자동 실행 스크립트 및 호스트 정보 보고는 여전히 완료되므로, 공식적으로는 무조건 정리를 요구합니다.
사용법
- 10월 29일 상기 시간대에 Cursor 확장 마켓에서 해당 플러그인을 설치하거나 업데이트한 경우: macOS / Linux에서는 grep -qs svc-telemetry ~/.ssh/authorized_keys를 실행하여 확인하고(Windows는 공지사항의 PowerShell 명령 사용), 결과가 나오면 영향을 받은 것입니다.
- 영향을 받은 머신은 Cursor 공지에 따라 처리하십시오. 공식 remediate-macos.sh(일반 사용자 권한으로 실행, root 사용 금지) 또는 remediate-windows.ps1(관리자 PowerShell)를 다운로드하여 플러그인, 자동 실행 항목, 터널 프로세스 및 공개 키를 제거하십시오. 단순히 플러그인을 제거하는 것만으로는 부족합니다. 신뢰할 수 있는 기기에서 이 머신에 접근 가능한 자격 증명 및 세션을 교체하고, 필요시 시스템을 재설치하십시오. 공지사항과 Phorion의 분석에는 IP, 파일 경로, 해시 등 침해 지표가 나열되어 있어 전사적 조사에 활용할 수 있습니다.
리스크
- '최대 5000명의 사용자가 영향을 받았다'는 주장은 The Decoder와 Ars Technica가 Cursor의 발언을 전달한 것으로, Cursor 공지 페이지에는 이 숫자가 없습니다.
- 영향받은 버전에 대한 설명이 변경되었습니다. Phorion은 처음에 2.1.313만 기재했으나, 10월 31일 Cursor의 업데이트된 공지에 따라 2.1.312 및 2.1.313으로 수정했습니다. Phorion은 악성 코드에 Linux 로직도 포함되어 있다고 주장하지만, Cursor 공지에는 macOS와 Windows만 명시되어 있습니다.
- Ars Technica가 기사를 작성한 시점까지 Anthropic은 사용자를 위한 공지를 발표하지 않았습니다. 계정 탈취 원인, 다른 배포 채널 영향 여부 등은 공개되지 않았습니다(Cursor는 다른 버전이나 공식 배포 채널이 영향을 받았다는 증거는 없다고 밝혔습니다).