클로드 코드 공식 확장 프로그램에 악성 백도어 심겼다 발각된 사건

요약 보안 기업 포리온(Phorion)에 따르면, 커서 마켓플레이스(Cursor Marketplace)에 등록되어 있던 공식 'Claude Code for VS Code' 확장 프로그램 번들에서 악성 백도어가 발견되었습니다. 영향을 받은 버전은 2.1.313으로, 번들 내 파일(extension.js) 앞단에 즉시 실행 함수(IIFE) 형태로 악성 코드가 삽입되어 있었습니다. 이 코드는 확장 프로그램의 정상 로직이 실행되기도 전에 Node.js 기본 모듈을 통해 곧각 구동되며, 사용자가 별도의 동작을 하지 않아도 로드되는 즉시 악성 행위를 시도합니다. 악성 페이로드는 macOS, Linux, Windows 환경 모두를 대상으로 지속적인 SSH 백도어를 구축하도록 설계되었습니다. 먼저 감염 대상의 `~/.ssh/authorized_keys` 파일에 공격자의 Ed25519 공개키를 주입하고 파일 권한을 설정한 뒤, 각 운영체제별로 로컬 SSH 데몬을 강제 활성화하려 시도했습니다. 다만 공격자의 구현 결함으로 인해 실제 피해는 일부 제한되었습니다. macOS의 경우 원격 로그인(Remote Login) 상태를 점검하는 명령어가 일반 사용자 권한에서 관리자 권한 에러 메시지를 반환하는데, 스크립트가 'Off'라는 특정 문자열만 체크하도록 짜여 있어 SSH 서비스 활성화 단계가 자동으로 건너뛰어졌습니다. 또한 윈도우 환경에서도 파워셸 명령어를 리눅스 셸 경로(`/bin/sh`)를 거쳐 실행하려다 실패하는 등 허술한 버그들이 확인되었습니다. 그럼에도 불구하고 이미 설치된 공격자의 SSH 공개키와 지속성 유지 로직, 호스트 정찰 정보 전송 등은 여전히 위협적입니다. 사건 인지 후 커서 측은 마켓플레이스에서 해당 릴리스를 즉시 삭제했으며, NPM 및 VS Code 레지스트리에서도 2.1.313 버전을 회수 조치했습니다. 해당 확장을 설치했던 개발 환경에서는 즉각적인 확인과 조치가 요구됩니다.