Cursor 마켓플레이스 Claude Code 확장 변조 사고: SSH 백도어 설치 시도

핵심 요약

Cursor는 10월 29일 02:27 PT부터 13:35 PT까지(공지 기준 약 11시간) 자사 확장 마켓플레이스에서 변조된(modified) Anthropic.claude-code 확장이 내려받기 가능했다고 공지했다. 영향 버전은 2.1.312와 2.1.313(macOS, Windows)이다. Cursor는 이 버전들이 Anthropic이 개발한 것이 아니라고 밝혔다. 공지는 10월 29일 게시됐고 10월 30일 11:30 PT에 갱신됐다.

사고 경과와 기술 분석

변조 방식

BleepingComputer(10월 30일)에 따르면 Phorion과 OpenSourceMalware 연구원이 extension.js 맨 앞에서 악성 JavaScript 로더를 발견했다. 나머지 코드는 정상이었다. 확장이 로드되면 실행되며 Claude Code 사용 상호작용은 필요 없다.

악성 코드의 동작 (Cursor 공지)

• 수집: 호스트명, 사용자명, OS, 아키텍처, 홈 디렉터리, 환경변수 이름, 작업 디렉터리, Git 이메일, 공인 IP를 공격자 서버로 전송
• 접근 시도: 공격자 제어 SSH 키 추가, 로컬 SSH 서비스 활성화, 리버스 SSH 터널 시도
• 지속성: macOS는 LaunchAgent, Windows는 SYSTEM 권한 예약 작업과 시작 폴더 대체 수단
• 재시도: 백그라운드 스크립트가 약 60초마다 터널 재시도

공격을 제한한 버그

SSH 활성화는 관리자 권한이 필요해 대부분 실패했지만 키 추가와 지속성 설치는 이뤄졌다고 Cursor는 설명했다. Phorion 분석(BleepingComputer 인용)에 따르면 macOS에서는 권한 없이 systemsetup -getremotelogin을 실행해 오류가 났고, 출력에 'Off'가 있어야 활성화를 시도하는 로직 때문에 해당 단계에 이르지 못했다. Windows에서는 표준 Windows에 없는 /bin/sh로 OpenSSH 설치를 호출해 실패했다. 기사는 스크립트가 자격증명을 직접 탈취하지 않았고 공격자가 접근 후 수동으로 가져갈 계획이라고 해석했다.

노출 규모와 Anthropic 입장

'최대 5,000명'은 BleepingComputer와 AI타임스가 전한 상한 수치다. Cursor 공지에는 설치자 수가 없고, The Register는 이를 독립 확인하지 못했다고 밝혔다. The Register에 따르면 Anthropic의 Felix Rieseberg는 이번 일이 Anthropic의 시스템이나 직원 노트북 침해가 아니며, 악의적 행위자가 Cursor 마켓플레이스 접근 권한을 이용해 변조본을 올린 것이라고 설명했다.

대응과 사용자 점검 방법

Cursor는 해당 버전 제거, 추가 배포 차단, 마켓플레이스 일시 중단, 접근 권한 감사, 키 교체, 마켓플레이스 재구축을 했다. 호스팅 업체와 협력해 공격자 서버도 차단했다. 사용자는 다음을 점검한다.

1. 2.1.312 또는 2.1.313을 설치·업데이트한 적이 있는지 확인한다.
2. authorized_keys에서 svc-telemetry 키를 검색한다. macOS는 ~/.ssh/authorized_keys에 grep, Windows는 사용자·관리자 authorized_keys 파일에 PowerShell Select-String을 쓴다.
3. 흔적이 있으면 호스트를 격리하고 무단 SSH 키, 지속성 장치, 터널 프로세스를 제거한다. 확장 제거만으로는 부족할 수 있다.
4. 호스트 재구축 여부를 판단하고, 신뢰할 수 있는 시스템에서 해당 호스트가 접근 가능했던 자격증명과 세션을 교체한다.
5. Cursor가 제공한 remediate-macos.sh(영향받은 일반 사용자 권한) 또는 remediate-windows.ps1(관리자 PowerShell)을 실행한다. 파일·프로세스·네트워크·패키지 해시 IOC는 공지에 수록돼 있다.

대응 평가(장단점)

잘된 점은 영향 버전, 시간대, 점검 키 이름, 복구 스크립트를 공지에 구체적으로 공개한 것이다. 미흡한 점은 침투 경로와 설치자 수가 공지에 없고, 최신 버전을 설치해도 지속성 장치는 제거되지 않는다는 것이다(The Register).

남은 쟁점

• 변조 패키지가 마켓플레이스에 올라간 침투 경로: 공지에 설명이 없다.
• 공격자 신원: 공개되지 않았다.
• 설치·업데이트 사용자 수: 공식 수치가 없다.
• 리버스 터널의 실제 성공 여부: 위협 헌팅이 필요하다(The Register).

결론

이번 사고는 확장을 로드하는 것만으로 SSH 키와 지속성 장치가 남을 수 있음을 보여줬다. 해당 버전을 설치한 개발자는 확장 삭제로 끝내지 말고 svc-telemetry 키 점검과 자격증명 교체까지 진행해야 한다.