Phân tích kỹ thuật: Extension Claude Code bị chiếm quyền, cài đặt backdoor SSH

• Sự cố bảo mật: Các phiên bản 2.1.312 và 2.1.313 của extension Claude Code đã bị chèn mã độc, ảnh hưởng đến người dùng Windows và macOS.
• Cơ chế tấn công: Kẻ tấn công thực hiện thu thập thông tin hệ thống và thiết lập kết nối SSH ngược (reverse SSH tunnel) để duy trì quyền truy cập từ xa.
• Phạm vi ảnh hưởng: Mã độc tồn tại trong khoảng 11 giờ trước khi bị Cursor gỡ bỏ và vô hiệu hóa máy chủ C2.
• Khuyến nghị: Người dùng cần kiểm tra các khóa SSH trái phép, quét hệ thống để tìm các script tồn dư và thực hiện xoay vòng thông tin xác thực.

Vào ngày 29 tháng 10 năm 2026, một sự cố bảo mật nghiêm trọng đã xảy ra trên nền tảng Cursor khi các gói extension Claude Code bị thay đổi trái phép và phân phối thông qua VS Code Extension Marketplace. Theo báo cáo từ các chuyên gia an ninh mạng, các phiên bản bị ảnh hưởng bao gồm 2.1.312 và 2.1.313, tồn tại trong khoảng thời gian 11 giờ 8 phút. Mặc dù Cursor đã nhanh chóng gỡ bỏ các gói này, nhưng nguy cơ đối với các máy trạm đã bị nhiễm là rất đáng kể.

Phân tích cơ chế tấn công và kỹ thuật xâm nhập

Mã độc được chèn vào extension Claude Code không chỉ đơn thuần là thu thập dữ liệu mà còn cố gắng thiết lập một cơ chế duy trì quyền truy cập lâu dài. Dưới đây là các bước thực hiện của mã độc:

• Thu thập thông tin (Reconnaissance): Mã độc thực hiện trích xuất các thông tin nhạy cảm bao gồm: hostname, username, hệ điều hành, kiến trúc bộ vi xử lý, thư mục người dùng, thư mục làm việc, email cấu hình Git và địa chỉ IP công cộng. Đặc biệt, mã độc còn thu thập danh sách các tên biến môi trường (environment variables).
• Thiết lập Backdoor: Kẻ tấn công thêm một khóa công khai SSH (SSH public key) với nhãn svc-telemetry vào tệp authorized_keys của người dùng.
• Duy trì kết nối (Persistence): Mã độc cố gắng kích hoạt dịch vụ SSH cục bộ và thiết lập một đường hầm SSH ngược (reverse SSH tunnel) để kết nối ngược lại máy chủ của kẻ tấn công.

Trên hệ điều hành macOS, mã độc sử dụng LaunchAgent với tên com.apple.sysmond để duy trì đường hầm. Đối với Windows, nó cố gắng tạo một tác vụ định kỳ (scheduled task) có tên SysMon chạy dưới quyền SYSTEM, với script trong thư mục Startup được sử dụng như một phương án dự phòng.

Các chỉ số nhận diện mối đe dọa (IOCs)

Dựa trên các báo cáo kỹ thuật, các đội ngũ SOC và quản trị hệ thống cần rà soát các chỉ số sau để phát hiện dấu hiệu xâm nhập:

Đánh giá tác động và hạn chế của mã độc

Mặc dù mục tiêu của kẻ tấn công là chiếm quyền điều khiển từ xa, nhưng Cursor cho biết các lỗi trong mã độc và việc thiếu quyền quản trị (administrator rights) trên hầu hết các máy trạm đã hạn chế đáng kể khả năng đăng nhập từ xa thành công. Việc kích hoạt dịch vụ SSH thường yêu cầu quyền nâng cao mà extension này không có sẵn trong môi trường thực thi thông thường.

Tuy nhiên, ⚠️ Cảnh báo quan trọng: Việc thiếu quyền quản trị không ngăn cản được hành vi thu thập dữ liệu hệ thống. Mọi thông tin đã bị trích xuất trước khi Cursor vô hiệu hóa máy chủ C2 vẫn được coi là đã bị lộ. Do đó, việc chỉ gỡ bỏ extension là không đủ để đảm bảo an toàn cho hệ thống.

Hướng dẫn xử lý và phòng thủ

Để khắc phục triệt để sự cố, các kỹ sư an ninh mạng cần thực hiện quy trình xử lý sự cố (Incident Response) theo các bước sau:

• Cô lập hệ thống: Cách ly các máy trạm có dấu hiệu thực thi payload hoặc cài đặt backdoor khỏi mạng nội bộ.
• Kiểm tra khóa SSH: Kiểm tra tệp ~/.ssh/authorized_keys trên Linux/macOS hoặc thư mục tương ứng trên Windows để tìm và xóa khóa svc-telemetry.
• Xóa bỏ script tồn dư: Kiểm tra các thư mục Startup, các tác vụ định kỳ (Task Scheduler) và các tệp cấu hình LaunchAgent để loại bỏ các script độc hại.
• Xoay vòng thông tin xác thực: Thực hiện thay đổi toàn bộ mật khẩu, khóa API và các phiên đăng nhập (sessions) đã được lưu trữ trên các máy bị ảnh hưởng từ một thiết bị sạch.
• Đánh giá lại hệ thống: Cân nhắc việc cài đặt lại hệ điều hành nếu có bằng chứng cho thấy mã độc đã leo thang đặc quyền thành công hoặc thực hiện các thay đổi sâu vào cấu hình hệ thống.

Thông tin chi tiết về các bước xử lý cụ thể có thể tham khảo thêm tại CISA hoặc các tài liệu hướng dẫn bảo mật từ nhà cung cấp hệ điều hành. Việc duy trì cảnh giác với các extension từ bên thứ ba là yếu tố then chốt để ngăn chặn các cuộc tấn công chuỗi cung ứng phần mềm trong tương lai.