Ngày 29/10, Cursor công bố thông báo bảo mật: chợ tiện ích VS Code của họ xuất hiện một bản Anthropic.claude-code 2.1.313 bị can thiệp. Bản này không do Anthropic phát triển và có tối đa khoảng 5.000 người dùng đã tải về. Cursor đã gỡ phiên bản này, từng đóng cửa toàn bộ chợ tiện ích, xoay vòng khóa của chính mình rồi dựng lại và đưa lên hoạt động trở lại; công ty cho biết sẽ liên hệ lần lượt với những người dùng bị ảnh hưởng.
Theo mốc thời gian trong thông báo, bản độc hại có thể tải xuống từ khoảng 2:27 sáng hôm đó theo giờ Thái Bình Dương và đến 1:35 chiều mới bị rút, tức kéo dài khoảng 11 giờ. Cursor nói hiện chưa phát hiện dấu hiệu bị sửa đổi ở bản chính thức cũng như các tiện ích khác trên chợ.
Sau khi cài đặt, nó làm gì
Tiện ích này trước hết thu thập một loạt thông tin máy chủ: tên máy, tên người dùng, hệ điều hành và kiến trúc, đường dẫn thư mục home, tên các biến môi trường, thư mục làm việc hiện tại, email Git và IP công khai, rồi gửi bằng HTTP POST tới giao diện /beacon ở cổng 8099 trên máy chủ của kẻ tấn công.
Tiếp theo, nó cố tạo một cửa hậu lâu dài: ghi khóa công khai SSH của kẻ tấn công vào authorized_keys, bật dịch vụ SSH trên máy, rồi dựng một đường hầm SSH ngược nối về phía chúng. Trên macOS, nó dùng LaunchAgent để duy trì; trên Windows, nó thử đăng ký tác vụ theo lịch với quyền SYSTEM, thất bại thì lùi về tập lệnh khởi động. Tập lệnh chạy nền cứ khoảng 60 giây lại thử dựng lại đường hầm.
Mã của kẻ tấn công tự nó có lỗi. Trừ khi Cursor được khởi chạy bằng quyền quản trị, bước dựng đường hầm phần lớn sẽ thất bại. Máy chủ của kẻ tấn công cũng đã bị nhà cung cấp hosting ngắt, nên cả đường hầm lẫn việc gửi thông tin hiện đều không kết nối được. Cursor nhắc rằng đường hầm không dựng được không có nghĩa là an toàn: khóa công khai, tập lệnh duy trì và thông tin máy chủ đã gửi đi có thể đều đã nằm lại.
"Uninstalling the extension may not be sufficient — the payload drops standalone persistence scripts that keep running." (Gỡ tiện ích có thể chưa đủ, vì phần tải độc để lại các tập lệnh duy trì chạy độc lập.)
Người dùng cần kiểm tra gì
Cách rà soát trong thông báo khá trực tiếp: xem danh sách khóa SSH được ủy quyền có khóa công khai tên svc-telemetry hay không; tìm trong nhật ký terminal, mạng và cài đặt tiện ích các IP, cổng và hai mã băm tệp VSIX mà thông báo liệt kê (chia theo hai gói: macOS arm64 và Windows x64). Máy nào có dấu vết thực thi thì cách ly trước, dùng tập lệnh chính thức để dọn khóa, mục duy trì và tiến trình đường hầm, khi cần thì cài lại hệ thống.
Bước cuối cùng dễ bị bỏ qua nhất: mọi thông tin xác thực và phiên đăng nhập mà máy này truy cập được đều phải đổi, và phải đổi trên một máy sạch. Theo Cursor, tiện ích chỉ đọc tên biến môi trường chứ không đọc giá trị, nhưng một khi cửa hậu đã mở thì kẻ tấn công hoàn toàn có thể quay lại lấy sau.
Công cụ lập trình trở thành mục tiêu chuỗi cung ứng
Nhìn lại một năm qua, các sự cố chuỗi cung ứng quanh công cụ lập trình AI chưa bao giờ ngừng. Trang đã đưa tin về việc LiteLLM 1.107.0 bị đầu độc để chuyên đánh cắp khóa dịch vụ AI, cũng như một lỗ hổng plugin VS Code khiến 3.800 kho GitHub bị lấy trộm. Lần này kẻ tấn công chọn cái tên Claude Code: lượng cài đặt lớn, người dùng lại quen cấp cho nó quyền terminal và tệp, nên lợi ích từ việc mạo danh rất cao.
Các trình soạn thảo phát triển từ VS Code như Cursor và Windsurf không thể dùng thẳng chợ tiện ích chính thức của Microsoft, chỉ có thể kết nối Open VSX hoặc tự dựng một kênh phân phối, nên cơ chế kiểm duyệt và ký số mỗi nơi một khác. Anthropic hiện chưa phản hồi công khai về vụ việc, còn việc bản mạo danh lên kệ bằng danh nghĩa nhà phát hành chính thức bằng cách nào thì Cursor cũng chưa giải thích. Chừng nào mắt xích này chưa được vá, các tiện ích phổ biến khác vẫn có thể bị mạo danh theo cách tương tự.
Với lập trình viên Trung Quốc, số người dùng Cursor không ít, và máy trong mạng nội bộ công ty cài loại trình soạn thảo này cũng nhiều. Nếu bạn đã cập nhật tiện ích Claude Code vào khoảng ngày 29/10, chi phí để rà lại theo các bước trên là rất thấp.
Nguồn tham khảo: thông báo bảo mật của Cursor (đối chiếu số phiên bản bị ảnh hưởng, khung giờ tải xuống và mức tối đa 5.000 người), CocoLoop, danh sách chỉ báo xâm phạm đính kèm thông báo của Cursor (đối chiếu cổng, khoảng thời gian thử lại và hai mã băm VSIX).