สรุปสั้น
ส่วนขยาย Claude Code คือ ปลั๊กอินทางการของบริษัท Anthropic ที่นักพัฒนาติดตั้งใน VS Code และ editor ที่สร้างบน VS Code อย่าง Cursor ล่าสุดนักวิจัยของ OpenSourceMalware พบว่าบน Cursor Marketplace มีอัปเดตเวอร์ชัน 2.1.313 ที่ถูกดัดแปลงฝังแบ็กดอร์ SSH และถูกปล่อยภายใต้ ID ทางการ anthropic.claude-code ผู้ใช้ที่เปิดอัปเดตอัตโนมัติจึงได้มัลแวร์ไปโดยไม่ต้องทำอะไร บริษัท Cursor ระบุว่ากระทบผู้ใช้สูงสุด 5,000 รายที่ติดตั้งระหว่างราว 02:27 ถึง 13:35 น. ตามเวลาแปซิฟิกของวันที่ 29 ตุลาคม 2569 และปิดมาร์เก็ตเพลสชั่วคราวเพื่อถอดแพ็กเกจออก
อัปเดตปลอมเพิ่มกุญแจ SSH ของผู้โจมตีลงในเครื่อง เปิดอุโมงค์ย้อนกลับไปยังเซิร์ฟเวอร์ผู้โจมตี ตั้งกลไกให้รันซ้ำ และส่งข้อมูลเครื่องรวมถึงชื่อตัวแปรสภาพแวดล้อมที่เก็บความลับออกไป ยังไม่มีใครเปิดเผยว่าผู้โจมตีปล่อยอัปเดตในชื่อทางการได้อย่างไร และไม่พบว่าแพร่ไปถึง Open VSX หรือ Microsoft VS Code Marketplace ผู้ที่ติดตั้งในช่วงนั้นควรแยกเครื่อง ลบกุญแจ SSH และกลไกคงอยู่ แล้วหมุนเวียนรหัสผ่าน token และเซสชันทั้งหมด
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 ตุลาคม 2569 ว่า Cursor ออกประกาศยืนยันเหตุและระบุว่าเวอร์ชันอันตรายนี้ “ไม่ได้พัฒนาโดย Anthropic” และไม่กระทบส่วนขยายอื่นบนมาร์เก็ตเพลส นางสาว Jenn Gile ผู้ร่วมก่อตั้ง OpenSourceMalware แย้งว่าคำชี้แจงนี้พลาดประเด็น เพราะผู้โจมตีไม่ได้สร้างส่วนขยายปลอมแยก แต่ปล่อยเป็นอัปเดตภายใต้ ID ของ Anthropic เอง ไฟล์ JavaScript หลักของแพ็กเกจมี loader อันตราย 66 บรรทัดแทรกไว้ก่อนโค้ดของจริง และใครที่ตั้งอัปเดตอัตโนมัติไว้ก็อาจได้มัลแวร์ไป แม้จะถูกถอดออกเร็วมาก
ไทม์ไลน์ คือ อัปเดตอันตรายอยู่บน Cursor Marketplace ราว 11 ชั่วโมงในวันที่ 29 ตุลาคม จากนั้น Cursor ปิดมาร์เก็ตเพลสชั่วคราวเพื่อถอดแพ็กเกจ และจะติดต่อผู้ใช้ที่ได้รับผลกระทบโดยตรง ณ วันที่ 30 ตุลาคม เวอร์ชันอันตรายถูกถอดออกแล้ว และ Anthropic ปล่อยเวอร์ชัน 2.1.314 บน Open VSX และ VS Code Marketplace ช่วงแรกมีรายงานคลาดเคลื่อนว่า Open VSX ถูกเจาะ แต่ภายหลังยืนยันว่าต้นเหตุอยู่ที่มาร์เก็ตเพลสของ Cursor
ข้อจำกัดของหลักฐาน คือ ยังไม่ทราบวิธีที่ผู้โจมตีใส่อัปเดตปลอมเข้ามาภายใต้ตัวตนผู้เผยแพร่ทางการ และยังไม่พบ payload ขั้นถัดไป เหตุนี้เกิดหลังเหตุสลับไฟล์ OVHcloud CLI ผ่านบัญชีผู้ร่วมพัฒนาที่ถูกยึดเพียงราวสัปดาห์เดียว (2026/10/192 ) แต่ยังไม่มีหลักฐานว่าเป็นผู้โจมตีกลุ่มเดียวกัน
วิธีการโจมตี
แฝงในชื่อทางการ — แพ็กเกจระบุตัวเป็น anthropic.claude-code เวอร์ชัน 2.1.313 โค้ดอันตรายถูกแทรกไว้หน้าโค้ดของจริง ส่วนขยายจึงยังทำงานตามปกติ ผู้ใช้ไม่เห็นความผิดปกติ
ทำงานเมื่อเปิด editor — loader ทำงานหลัง VS Code หรือ Cursor เริ่มต้นและเมื่อหน้า webview ของส่วนขยายเปิด แล้วเพิ่มกุญแจสาธารณะ SSH ของผู้โจมตีลงไฟล์ ~/.ssh/authorized_keys โดยตั้งป้ายชื่อว่า “svc-telemetry” ให้ดูเหมือนของบริการทั่วไป
เปิดทางเข้า SSH ย้อนกลับ — มัลแวร์พยายามเปิดบริการ SSH ของเครื่องบน Windows, Linux และ macOS แล้วสร้างอุโมงค์ย้อนกลับ (reverse tunnel) ไปยัง 134.209.82[.]225 ทำให้ผู้โจมตีต่อเข้าเครื่องเหยื่อได้แม้เครื่องอยู่หลัง NAT หรือไฟร์วอลล์ Cursor ระบุว่าการเปิด SSH ในเครื่องต้องใช้สิทธิ์ผู้ดูแล ซึ่งส่วนขยายไม่มีบน macOS และ Windows ส่วนใหญ่ ขั้นนี้จึงมักล้มเหลว แต่กุญแจ กลไกคงอยู่ และการส่งข้อมูลยังเกิดขึ้น
คงอยู่และส่งข้อมูลเครื่อง — มัลแวร์ตั้ง scheduled task บน Windows, crontab บน Linux และ LaunchAgent บน macOS แล้วส่งข้อมูลไปยัง 134.209.82[.]225:8099/beacon ผ่าน HTTP ที่ไม่เข้ารหัส ข้อมูลที่ส่ง ได้แก่ IP สาธารณะจาก api.ipify[.]org ชื่อเครื่อง ชื่อผู้ใช้ ระบบปฏิบัติการ สถาปัตยกรรม CPU โฟลเดอร์ home และโฟลเดอร์ปัจจุบัน อีเมล Git ระดับ global และชื่อตัวแปรสภาพแวดล้อมสูงสุด 40 ตัวที่มีคำว่า KEY, TOKEN, SECRET, PASS, AWS หรือ GCP นาย Paul McCarty นักวิจัยความปลอดภัย ระบุว่าค่าของตัวแปรไม่ได้ถูกส่งในรอบแรก แต่ชื่อตัวแปรก็บอกได้ว่าเครื่องตั้งค่าคลาวด์และระบบ CI ใดไว้ และหาก SSH สำเร็จ ผู้โจมตีก็เข้าไปอ่านค่าเองได้
ผลกระทบ
ผู้ได้รับผลกระทบโดยตรง คือ ผู้ใช้ Cursor สูงสุด 5,000 รายที่ติดตั้งเวอร์ชัน 2.1.313 ในช่วงเวลาดังกล่าว เครื่องนักพัฒนามักถือกุญแจคลาวด์ token ของ Git และสิทธิ์ปล่อยแพ็กเกจ ช่องทาง SSH ที่สำเร็จจึงเปิดทางสู่บัญชีคลาวด์และซัพพลายเชนซอฟต์แวร์ขององค์กร ไม่ใช่แค่เครื่องเดียว
ในภาพใหญ่ เหตุนี้แสดงว่ามาร์เก็ตเพลสส่วนขยายที่แยกจาก Microsoft เป็นจุดอ่อนอีกจุด การเชื่อชื่อผู้เผยแพร่ทางการไม่พอ หากมาร์เก็ตเพลสเองถูกเจาะหรือกระบวนการปล่อยอัปเดตมีช่องโหว่ และผู้ใช้ที่เปิดอัปเดตอัตโนมัติคือกลุ่มที่โดนก่อน
คำแนะนำ
- ตรวจเวอร์ชันส่วนขยาย Claude Code ใน Cursor ทุกเครื่อง หากเคยเป็น 2.1.313 ให้แยกเครื่องออกจากเครือข่ายก่อน แล้วอัปเดตเป็น 2.1.314 ขึ้นไป
- เปิด
~/.ssh/authorized_keysแล้วลบกุญแจที่มีป้าย “svc-telemetry” หรือกุญแจที่ไม่รู้จัก และปิดบริการ SSH ที่ไม่ได้ตั้งใจเปิด - ลบกลไกคงอยู่: scheduled task บน Windows, รายการ crontab บน Linux และ LaunchAgent บน macOS ที่ถูกสร้างช่วง 29 ตุลาคม 2569
- ตรวจล็อกเครือข่ายหาการเชื่อมต่อไป 134.209.82[.]225 โดยเฉพาะพอร์ต 8099 และอุโมงค์ SSH ขาออก (defang แล้ว)
- หมุนเวียนความลับทั้งหมดที่ชื่อตัวแปรหลุดออกไป รวมถึงกุญแจคลาวด์ token Git และ token ปล่อยแพ็กเกจ และเพิกถอนเซสชันที่ค้างอยู่
- ระยะยาว พิจารณาปิดอัปเดตส่วนขยายอัตโนมัติบนเครื่องนักพัฒนาที่มีสิทธิ์สูง และใช้ allowlist ส่วนขยายพร้อมตรวจเวอร์ชันก่อนปล่อยให้ทั้งองค์กร
Indicators of Compromise (IoCs)
ตัวบ่งชี้ถูก defang แล้ว (เช่น [.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ
| ประเภท | ตัวบ่งชี้ | คำอธิบาย |
|---|---|---|
| Extension | anthropic.claude-code 2.1.313 (Cursor Marketplace) | เวอร์ชันที่ถูกฝังมัลแวร์ |
| IP Address | 134.209.82[.]225 | ปลายทางอุโมงค์ SSH ย้อนกลับ |
| URL | 134.209.82[.]225:8099/beacon | ปลายทางรับข้อมูลเครื่อง (HTTP ไม่เข้ารหัส) |
| SSH key label | svc-telemetry | ป้ายชื่อกุญแจของผู้โจมตีใน authorized_keys |