微软警告木马化 Claude Code 扩展试图植入持久化 SSH 后门
Microsoft Warns of Trojanized Claude Code Extension Planting Persistent SSH Backdoor
AI 导读
微软警告，经 Cursor 市场分发的木马化 Claude Code 扩展试图在开发者工作站安装持久化 SSH 后门，涉及 anthropic.claude-code 2.1.312 和 2.1.313 两个版本。恶意 JavaScript 在扩展正常初始化前执行，收集主机名、用户名和全局 Git 邮箱等信息，向 authorized_keys 追加内置 Ed25519 公钥并建立反向 SSH 隧道，在 macOS、Linux 和 Windows 上分别借助 LaunchAgent、crontab @reboot 项和计划任务持久化，相关文件位于扩展目录之外，卸载或更新扩展不会清除。
推荐理由
文章整理了恶意扩展在三大系统的持久化路径与 IOC 清单，开发者可据此排查本机是否中招并清理卸载扩展也删不掉的残留后门。
阅读原文