OpenSourceMalware が最初に Open VSX 配布とした Claude Code 2.1.313 について、Socket は npm・Open VSX・VS Code Marketplace の取り込みログに当該版を捕捉していない。Open VSX の変更フィード 3,392 件（10月27日から30日 05<35> UTC まで）では 2.1.312 と 2.1.314 の八プラットフォーム分の ACTIVE イベントのみで、2.1.313 の公開・削除イベントは無い。npm の @anthropic-ai/claude-code でも versions と time に 2.1.313 は無く、隣接版は 2.1.312（10月27日 18<36> UTC）と 2.1.314（10月30日 00<12> UTC）。Cursor は自社 Marketplace で Anthropic.claude-code 2.1.312 と 2.1.313（Windows・macOS）の改ざん版を配布していたと確認し、最大約 5,000 利用者の可能性を示している。
初期報告（Paul McCarty による OpenSourceMalware 分析、Socket は当該成果物を自前解析していない）では、展開済み macOS 拡張に次の挙動が記載されている。
authorized_keysへ攻撃者管理の SSH 公開鍵を追記- 逆 SSH トンネル確立の試行
- 再起動後もトンネルを張り直す常駐の仕込み
Cursor のインシデント告知では、改ざん版はホスト名・ユーザー名・OS・Git メール・公開 IP 等を外部へ送り、コメント svc-telemetry の ed25519 鍵を authorized_keys に足し、ローカル SSH 有効化と 134.209.82.225 向け逆トンネルを約 60 秒間隔で再試行する。macOS は LaunchAgent com.apple.sysmond、Windows はスケジュールタスク SysMon 等でスクリプトを残す。拡張を削除しても独立した常駐スクリプトが動き続ける可能性がある。
Open VSX 側の疑義：
- 当初のスクリーンショットは 2.1.313 を latest と表示する一方、Linux x64 135.13 MB・Windows x64 136.07 MB は公開中の 2.1.314 ビルドと表示桁が一致
- 変更フィード上、公開後 90 秒で削除された他拡張 21 件は公開・削除の両イベントが残るが、2.1.313 に相当する記録は無い
- OpenSourceMalware 側の記事は配布経路の記述を大幅に改訂し、解析ディレクトリの出自は未確定のまま
影響：
- Cursor VS Code Extension Marketplace から 10月29日 PT 2<27>〜13<35> に Anthropic.claude-code 2.1.312 または 2.1.313 を macOS / Windows で入れた・更新した端末
- Open VSX・npm・Microsoft VS Code Marketplace 経由で 2.1.313 が公開されていたという説明は、Socket のレジストリ調査では裏付けが取れない
- Anthropic 公式配布インフラの侵害を示す独立証拠は、初期報告でも明示されていない
対処：
grep -qs svc-telemetry ~/.ssh/authorized_keys（macOS）または PowerShell で%USERPROFILE%\.ssh\authorized_keysとadministrators_authorized_keysを検索し、該当鍵があれば侵害済みとして隔離・鍵削除・常駐除去・資格情報ローテーション- ネットワーク・拡張インストール履歴で VSIX ハッシュ、
134.209.82.225、:8099/beacon、autossh/ssh -N -R '*:0:localhost:22'を hunting - Cursor 配布の改ざん版 SHA-256（darwin-arm64 2.1.313:
80402fdcad8799285fd93044976973ca000da7995fb93363f819bb8e4f84ee6c、win32-x64 2.1.313:6786ec90cbd45949695bd7805c9fbb26cfc91bc5fc897de0183d9bcb9cb21731）と platform 別 remediation スクリプトを照合