가짜 클로드 코드 확장, 커서에서 최대 5,000명 설치｜SSH 백도어 사건 정리와 감염 확인·조치 방법

"커서에서 클로드 코드 확장 자동 업데이트를 켜 뒀는데 괜찮을까요?" 이번 주 개발자라면 꼭 확인해야 할 질문입니다. 결론부터 말하면, 10월 29일(현지) 커서 확장 마켓플레이스에 공식 클로드 코드 확장으로 위장한 변조 버전 2.1.313이 약 11시간 유통됐고, 최대 5,000명이 설치했습니다. PC에 SSH 백도어를 심는 악성 코드였고, 확장만 지워서는 해결되지 않습니다.

✅ 이 글에서 얻을 수 있는 것
1. 사건 개요와 위험 시간대 (한국 시간 포함)
2. 악성 코드가 한 일
3. 감염 확인과 조치 순서

사건 한눈에

커서는 마켓플레이스 전체를 내린 뒤 키를 교체하고 다시 구축해 복구했습니다. 감사 결과 다른 변조 확장은 없었다고 밝혔고, 영향받은 사용자에게 직접 연락하겠다고 했습니다. 침투 경로는 아직 공개되지 않았습니다.

악성 코드가 한 일

1. 메인 자바스크립트 번들 앞에 66줄짜리 악성 로더 삽입 (정상 버전보다 약 7KB 큼, 3,692,922바이트)
2. 확장 모듈이 로드되기만 하면 실행 (클로드와 대화하지 않아도 작동)
3. ~/.ssh/authorized_keys에 공격자 키 추가 (이름: svc-telemetry)
4. 134.209.82[.]225로 리버스 터널 생성
5. 지속성 장치 설치: 예약 작업·크론탭·런치에이전트 (윈도우 작업 SysMon, 맥OS com.apple.sysmond.plist)
6. 같은 서버 8099번 포트로 호스트 정보 전송

커서는 로컬 SSH 서비스를 켜려면 관리자 권한이 필요해 대부분의 맥OS·윈도우 환경에서는 원격 로그인 단계가 실패했을 것이라고 했습니다. 다만 키 추가, 지속성 설치, 정보 전송은 이뤄졌으므로 어떤 경우든 조치하라고 권고했습니다.

내 PC 확인하기

1. 설치 버전 확인: 커서 확장 목록에서 클로드 코드 버전을 봅니다. 2.1.313이었던 적이 있는지, 위 시간대에 업데이트됐는지 확인하세요.

2. SSH 키 확인 (맥OS·리눅스)

# svc-telemetry 라는 이름의 키가 있으면 공격자 키
grep -n "svc-telemetry" ~/.ssh/authorized_keys

3. 확장 폴더에서 흔적 검색

# 맥OS·리눅스: 커서 확장 폴더에서 공격자 주소·키 이름 검색
grep -rl -e "134.209.82.225" -e "svc-telemetry" ~/.cursor/extensions 2>/dev/null

# 윈도우 PowerShell: 예약 작업 SysMon 확인
Get-ScheduledTask -TaskName "SysMon" -ErrorAction SilentlyContinue

4. 지속성 장치 확인: 맥OS는 LaunchAgents 폴더(~/Library/LaunchAgents 등)에 com.apple.sysmond.plist가 있는지, 리눅스는 crontab -l에서 낯선 항목이 있는지 봅니다.

감염됐다면 조치 순서

1. 네트워크에서 분리 (호스트 격리)
2. authorized_keys에서 승인되지 않은 키 삭제
3. 예약 작업·크론탭·런치에이전트 등 지속성 장치 삭제
4. 확장을 지우고 정상 버전 2.1.314 이상으로 재설치
5. 자격 증명·세션 교체: 환경 변수에 있던 API 키·토큰, 클라우드(AWS·GCP) 키, 깃 토큰, SSH 키를 모두 새로 발급
6. 회사 PC라면 보안팀에 즉시 보고

환경 변수 값이 전송되지 않았더라도, 어떤 클라우드와 CI를 쓰는지 이름만으로 공격 대상이 드러날 수 있어 교체를 권합니다.

📌 함께 보면 좋은 가이드: Sign in with ChatGPT 정리 — 외부 앱에 AI 계정을 연결할 때 권한 관리법입니다.

앞으로 지킬 습관

오픈 VSX는 커서 외에 VSCodium·윈드서프·깃포드도 쓰는 레지스트리라, 이 도구들을 쓴다면 같은 점검을 해 두는 것이 좋습니다.

맺음말

1. 커서 마켓플레이스에 가짜 클로드 코드 2.1.313이 약 11시간 유통돼 최대 5,000명이 설치했습니다.
2. 악성 코드는 SSH 키 추가·리버스 터널·지속성 설치·정보 전송을 했습니다.
3. 해당 시간대에 설치했다면 확장 삭제로 끝내지 말고 키·지속성 장치를 지우고 자격 증명을 교체하세요.

공식 자료

• 가짜 클로드 코드 확장이 커서에서 11시간 퍼졌다…최대 5,000명 SSH 백도어 노출 (위키트리, 2026-10-30, The Hacker News·스텝시큐리티·커서 발표 인용)

👉 다음에 읽을 글
- 제미나이에서 문서·PDF·PPT 바로 만들고 편집하기 — 이번 주 AI 도구 업데이트입니다.
- 엔비디아 허깅페이스 인수, 미 법무부 조사 — AI 개발 생태계 소식입니다.