인공지능 기반 코드 편집기 Cursor가 Anthropic사의 유명한 Claude Code 확장 프로그램의 악성 수정 버디로 인해 보안 사고를 겪었습니다. 이 확장 프로그램은 10월 중 약 11시간 동안 Cursor 확장 프로그램 스토어를 통해 배포되었으며, 이로 인해 최대 5천 명의 개발자가 지속적인 SSH 연결 백도어를 설치하도록 설계된 악성코드에 노출되었습니다.
보안 기관의 기술 조사에 따르면, 해킹된 확장 프로그램은 버전 2.1.313이며 태평양 표준시 기준 새벽 2시 27분부터 오후 1시 35분 사이에 게시되었습니다. 보고서에 따르면 공격자들은 extension.js 파일의 시작 부분에 악성 자바스크립트 코드를 주입했으며, 겉보기에는 정상적으로 작동하도록 원래의 코드는 그대로 두었습니다. 이 악성 코드는 사용자의 직접적인 상호작용 없이 확장 프로그램이 로드되는 즉시 실행됩니다.
공격 메커니즘 및 타겟 데이터
피해자의 시스템에 악성 확장 프로그램이 설치되면 Git 이메일 주소, 공인 IP 주소 등 시스템 및 사용자에 대한 상세 정보를 수집하는 일련의 파괴적인 작업을 수행합니다. 또한 공격자의 통제하에 악성 SSH 키를 추가하고, 리버스 터널을 생성하기 위해 프로토콜을 통한 접근 활성화를 시도하며, 맥의 LaunchAgent 기능이나 윈도우의 예약 작업 및 시작 지점과 같은 시스템 도구를 통해 실행 지속성을 보장합니다.
이 확장 프로그램은 정찰 데이터와 백도어 상태를 공격자가 제어하는 IP 주소 134.209.82.225의 서버로 전송했습니다. 공격의 심각성에도 불구하고, 연구원들은 연결 설정 루틴에서 프로그래밍 오류를 발견했습니다. 이로 인해 사전에 SSH 서비스가 활성화되지 않았던 기기에서는 서비스 활성화에 실패하여 공격자가 많은 피해 시스템에서 원격 접속을 달성하는 것을 막을 수 있었습니다.
시정 조치 및 플랫폼 대응
취약점이 발견된 직후, Cursor 플랫폼은 신속하게 악성 확장 프로그램을 제거하고 모든 확장 프로그램에 대한 철저한 감사를 수행하며 접근 키를 순환하기 위해 확장 프로그램 스토어를 일시 중단했습니다. 또한 호스팅 제공업체와 협력하여 공격자의 서버와의 연결을 차단했습니다. 회사는 자체 내부 조사를 통해 다른 버전이나 공식 배포 채널은 영향을 받지 않았다고 확인했습니다.
사용자에게 이는 무슨 의미일까요?
노출 기간 동안 패키지를 다운로드한 개발자는 svc-telemetry라는 이름의 의심스러운 SSH 키가 있는지 시스템을 검사할 것이 권장됩니다. 또한 피해 기기 격리, 시크릿 및 접근 계정 순환, 활성 세션 무효화, 시스템에 악성 잔재가 없도록 안전하고 신뢰할 수 있는 백업에서 작업 환경을 완전히 재구축하는 등의 긴급 조치를 취해야 합니다.