JawabanDipublikasikan24 sumber
Ekstensi Claude Code Berbahaya Sempat Beredar di Marketplace Cursor
Pada 29 Oktober 2026, build Claude Code versi 2.1.313 yang telah dimodifikasi tersedia di marketplace Cursor selama sekitar 11 jam; Cursor memperkirakan paling banyak 5.000 pengguna menerimanya. Bukti selanjutnya mengarah ke marketplace Cursor, bukan Open VSX, Microsoft Visual Studio Marketplace, atau paket npm.
Diterbitkan olehDiedit dengan GPT-6 LunaGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- Pada 29 Oktober 2026, build Claude Code versi 2.1.313 yang telah dimodifikasi tersedia di marketplace Cursor selama sekitar 11 jam; Cursor memperkirakan paling banyak 5.000 pengguna menerimanya.
- Bukti selanjutnya mengarah ke marketplace Cursor, bukan Open VSX, Microsoft Visual Studio Marketplace, atau paket npm.
- Kode berbahaya berusaha menambahkan kunci SSH dan membuat akses jarak jauh persisten.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened in the October 29, 2026 compromise of Claude Code extension version 2.1.313 in Cursor’s marketplace, including its roughly 11-. Article summary: On October 29, 2026, a trojanized Claude Code extension, `anthropic.claude-code` version `2.1.313`, was served through Cursor’s extension marketplace from approximately 2:27 a.m. to 1:35 p.m. Pacific—about 11 hours—and r. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Pada 29 Oktober 2026, build ekstensi Claude Code yang telah dimodifikasi, anthropic.claude-code versi 2.1.313, tersedia di marketplace ekstensi Cursor sekitar pukul 02.27 hingga 13.35 waktu Pasifik—kurang lebih 11 jam. Cursor menyebut hingga 5.000 pengguna menerima ekstensi tersebut. Angka ini adalah perkiraan paparan, bukan jumlah komputer yang dipastikan berhasil diakses penyerang. 2
4
Ekstensi itu mencoba memasang kunci SSH yang dikendalikan penyerang dan membuat jalur akses jarak jauh yang dapat bertahan. Berikut hal-hal yang diketahui dan langkah yang sebaiknya diperiksa pengguna.
Dari mana ekstensi berbahaya itu berasal?
Sejumlah laporan awal mengaitkan versi yang telah dimodifikasi ini dengan Open VSX. Namun, analisis lanjutan menunjukkan bahwa sumber distribusinya adalah marketplace Cursor. Open VSX, Microsoft Visual Studio Marketplace, dan paket npm @anthropic-ai/claude-code dilaporkan bersih; daftar versi mereka beralih dari 2.1.312 ke 2.1.314, tanpa mencantumkan 2.1.313. 10
13
19
22
Paket berbahaya itu memakai identitas ekstensi yang sah, sehingga bukan sekadar tiruan dengan nama yang jelas berbeda. Pemberitahuan keamanan Cursor menyebut listing marketplace terdampak mencakup build Windows dan macOS versi 2.1.312 dan 2.1.313. Karena itu, pengguna sebaiknya mengikuti pemberitahuan Cursor dan tidak hanya mengandalkan pemeriksaan nomor versi 2.1.313. 4
19
Anthropic menyatakan build yang telah dimodifikasi itu bukan buatannya. Laporan insiden yang tersedia menunjuk marketplace Cursor sebagai sumber distribusi, tetapi belum menjelaskan bagaimana penyerang memperoleh akses untuk menerbitkan paket di sana. 4
16
Apa yang hendak dilakukan kode berbahaya?
Peneliti menemukan loader sepanjang 66 baris yang disisipkan sebelum kode normal ekstensi. Loader ini mengumpulkan sejumlah informasi tentang komputer dan penggunanya, termasuk nama host, nama pengguna, sistem operasi, nama variabel lingkungan, alamat surel Git, dan alamat IP publik. 1
8
Kode tersebut juga mencoba menambahkan kunci SSH milik penyerang—dengan label svc-telemetry—ke berkas authorized_keys pengguna, memasang mekanisme agar tetap aktif, lalu membuka terowongan SSH balik. Mekanisme persistensi yang dilaporkan mencakup LaunchAgent di macOS dan tugas terjadwal di Windows. Skrip latar belakang berusaha mencoba kembali koneksi kira-kira setiap 60 detik. 1
8
41
Menurut Cursor, upaya mengaktifkan layanan SSH lokal umumnya akan gagal karena ada kesalahan pada kode berbahaya tersebut. Pengecualiannya adalah situasi tidak biasa, seperti ketika Cursor dijalankan dengan hak administrator. Batasan ini mengurangi kemungkinan jalur akses jarak jauh tersebut berfungsi di kebanyakan komputer, tetapi tidak memastikan apakah perangkat tertentu terdampak atau tidak. 41
Penanganan dan versi pengganti
Cursor menghapus paket berbahaya dan sempat menonaktifkan marketplace ekstensinya. Sejumlah laporan juga menyebut Cursor membangun ulang marketplace, merotasi kunci penerbitan atau penandatanganan, serta membantu menonaktifkan server milik penyerang. 18
23
Versi 2.1.314 diidentifikasi sebagai pengganti yang bersih dan tersedia di Open VSX serta Microsoft Visual Studio Marketplace. 4
10 Mengganti atau menghapus ekstensi menangani paket berbahaya, tetapi pengguna tetap perlu memeriksa kemungkinan berkas atau pengaturan yang sudah telanjur dibuat oleh kode tersebut.
4
8
Yang perlu dilakukan pengguna
Jika Anda memasang atau memperbarui ekstensi melalui Cursor selama periode paparan, ikuti pemberitahuan keamanan dan panduan pemulihan Cursor untuk memeriksa komputer. Beberapa hal yang perlu diperhatikan:
- Periksa berkas otorisasi SSH untuk kunci berlabel
svc-telemetry. Periksa juga mekanisme persistensi terkait, seperti LaunchAgent yang dilaporkan di macOS atau tugas terjadwal di Windows.1
4
- Perbarui ekstensi ke versi bersih
2.1.314dan jalankan langkah pemulihan dari Cursor. Jangan berasumsi bahwa memperbarui atau menghapus ekstensi saja akan membersihkan artefak yang mungkin sudah terpasang.40
- Ganti kredensial yang dapat diakses dari komputer yang mungkin terdampak. Jika menemukan artefak mencurigakan, mengisolasi komputer selama pemeriksaan merupakan langkah berjaga-jaga—bukan bukti bahwa penyerang berhasil masuk.
6
Penting untuk membedakan antara ekstensi yang sempat diterima pengguna dan backdoor yang berhasil diaktifkan. Laporan menunjukkan adanya upaya memasang akses SSH persisten dan perkiraan paparan hingga 5.000 pengguna; laporan tersebut tidak membuktikan bahwa semua perangkat yang menerima ekstensi berhasil disusupi dengan cara yang sama. 2
8
41
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "Ekstensi Claude Code Berbahaya Sempat Beredar di Marketplace Cursor"?
Pada 29 Oktober 2026, build Claude Code versi 2.1.313 yang telah dimodifikasi tersedia di marketplace Cursor selama sekitar 11 jam; Cursor memperkirakan paling banyak 5.000 pengguna menerimanya.
Apa poin penting yang harus divalidasi terlebih dahulu?
Pada 29 Oktober 2026, build Claude Code versi 2.1.313 yang telah dimodifikasi tersedia di marketplace Cursor selama sekitar 11 jam; Cursor memperkirakan paling banyak 5.000 pengguna menerimanya. Bukti selanjutnya mengarah ke marketplace Cursor, bukan Open VSX, Microsoft Visual Studio Marketplace, atau paket npm.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Kode berbahaya berusaha menambahkan kunci SSH dan membuat akses jarak jauh persisten.
Sumber
ox.securityMalicious Claude Code Extension Installs SSH Backdoor ...
microsoft.comInside a malicious Claude Code-branded extension and its ...
brandefense.ioMalicious Extensions: Claude Code Playbook