10月29日 2<27am> PT から 1<35pm> PT の間、Cursor VS Code Extension Marketplace に Anthropic 製ではない改変版 Anthropic.claude-code 2.1.312 と 2.1.313（macOS・Windows）が配布された。ペイロードはホスト名・ユーザー名・OS・アーキテクチャ・ホームディレクトリ・環境変数名・作業ディレクトリ・Git 設定メール・公開 IP を収集して送信し、authorized_keys へ攻撃者 SSH 鍵（コメント svc-telemetry）を追記、ローカル SSH 有効化と逆 SSH トンネル、macOS の LaunchAgent（com.apple.sysmond）または Windows の予約タスク SysMon（SYSTEM 実行を試み、失敗時は Startup スクリプト）でトンネルを約60秒間隔で再試行する。攻撃者サーバーはホスティング事業者と連携してオフライン化され、逆シェルとホスト詳細 POST は現在機能しない。ローカル SSH 有効化は管理者権限が要り、通常の macOS・Windows では失敗してトンネル経由ログインは起きにくいが、鍵追記・常駐・ホスト詳細送信は実行された前提で対処が必要。
影響：
- パッケージ: Anthropic.claude-code 2.1.312・2.1.313（darwin-arm64・win32-x64）
- 配布経路: Cursor VS Code Extension Marketplace。cursor.com/marketplace 由来の他拡張、Grok Bot、Grok は対象外
- 上記時間帯に macOS または Windows で Marketplace から該当版をインストールまたは更新した環境
- 当該パッケージ以外の版や Anthropic 正規配布に侵害の証拠はない
対処：
- Anthropic.claude-code 2.1.312・2.1.313 を削除する
- macOS は
~/.ssh/authorized_keys、Windows は%USERPROFILE%\.ssh\authorized_keysとC:\ProgramData\ssh\administrators_authorized_keysでsvc-telemetryを検索し、未承認鍵と逆トンネルプロセスを除去する ~/Library/LaunchAgents/com.apple.sysmond.plist、予約タスクSysMon、~/.config/.smt・.smtk、%TEMP%\.stk_*など常駐機構を削除する。拡張のアンインストールだけでは不十分- ペイロード実行やバックドア設置の痕跡があるホストは隔離し、再構築を検討する
- 信頼できる端末から、影響ホストから到達可能な資格情報とセッションをローテーションする。収集された環境変数名だけでは、後続の資格情報アクセスを否定できない