Cursor가 마켓에서 악성 Claude Code 확장을 설치한 개발자들에게 확장 삭제만으로 위험이 해소되지 않을 수 있다고 경고했다. 영향을 받은 기기에서 잔여 구성요소를 확인하고, 해당 기기에서 접근할 수 있었던 인증 정보와 세션은 신뢰할 수 있는 시스템을 통해 교체해야 한다. 대상은 macOS·Windows용 Anthropic.claude-code 2.1.312와 2.1.313 버전이다. 실제 침입 성공 여부는 기기 설정과 권한 조건에 따라 달라진다.
2026년 10월 29일 마켓에 올라온 두 버전
Cursor 보안 공지에 따르면 악성 버전 두 개는 2026년 10월 29일 태평양시간 기준 오전 2시 27분쯤부터 오후 1시 35분쯤까지 마켓에 노출됐다. Cursor는 해당 버전이 Anthropic에서 개발한 것이 아니며, 다른 버전이나 공식 배포 경로가 영향을 받았다는 증거는 현재까지 없다고 밝혔다.
Cursor는 10월 30일 영향을 받은 버전과 식별 정보를 추가로 공개했다. 보안 연구원 Phorion은 처음에는 2.1.313만 확인했으나, 10월 31일 분석을 업데이트해 2.1.312도 영향 범위에 포함했다.
SSH 원격 접속과 재실행을 노린 악성 코드
Phorion의 분석에 따르면 악성 페이로드는 공격자가 관리하는 SSH 키를 추가하고, 기기에서 SSH 원격 로그인을 활성화한 뒤 역방향 터널을 만들려고 했다. SSH 서비스가 실행 중이라면 삽입된 키를 이용해 공격자가 터널을 통해 기기에 접속할 가능성이 있다. 악성 코드는 장기간 남기 위한 장치도 시도했다. macOS에서는 LaunchAgent를, Windows에서는 예약 작업을 만들려 했으며 실패하면 시작 프로그램 폴더를 대안으로 이용하려 했다.
Phorion은 확장 모듈이 Node에 로드될 때 주입된 코드가 실행되며, 확장의 정상 활성화 콜백을 기다리거나 사용자의 추가 조작을 요구하지 않는다고 설명했다. 다만 원격 접속의 성공 여부는 호스트 상태에 좌우된다. 연구원은 macOS 코드에서 권한 확인 문제가 발견됐다고 밝혔다. 일반 사용자 권한으로 실행하면 원격 로그인이 활성화되지 않을 수 있지만, SSH가 이미 켜져 있거나 나중에 활성화되면 터널이 작동하는 동안 삽입된 키가 접속 경로로 쓰일 가능성이 있다.
공격 서버 폐쇄 후에도 로컬 흔적 확인해야
Cursor는 호스팅 업체와 협력해 공격자 서버를 폐쇄하고, 악성 확장을 제거했으며 자체 키를 교체한 뒤 마켓을 재구축해 다시 열었다고 밝혔다. 다만 플랫폼에서 취한 조치만으로 영향을 받은 컴퓨터에 남은 구성요소까지 자동으로 제거되는 것은 아니다.
Phorion에 따르면 초기 비콘은 호스트 정보와 최대 40개의 환경 변수 이름을 전송하려 했으며, 변수에 담긴 비밀값 자체를 보내는 방식은 아니었다. Cursor는 수집 범위가 제한적이었다는 사실만으로 공격자가 이후 백도어를 통해 인증 정보를 확보하지 못했다고 단정할 수는 없다고 밝혔다.
Cursor는 터미널, 네트워크, 확장 설치 기록을 확인하라고 권고했다. 페이로드 실행이나 백도어 설치 흔적이 발견되면 기기를 격리하고, 승인되지 않은 SSH 키와 지속성 설정, 실행 중인 터널을 제거해야 한다. 회사는 운영체제별 복구 스크립트를 제공하고, 필요할 경우 호스트를 재설치하거나 재구축할지 검토하라고 안내했다. 영향을 받은 기기에서 접근할 수 있었던 인증 정보와 세션도 신뢰할 수 있는 기기를 이용해 교체해야 한다. 개발자의 경우 로컬 계정으로 접근 가능한 개발 서비스나 금융 서비스의 인증 정보가 포함될 수 있다. 현재 공지와 분석에서는 암호화폐 탈취가 확인되지 않았으며, 이번 공격이 암호화폐 업계를 특정해 겨냥했다는 점도 확인되지 않았다.