커서서 클로드 코드 사칭 확장 프로그램 유통

커서의 VS Code 확장 프로그램 마켓플레이스에서 앤트로픽의 클로드 코드를 사칭한 악성 확장 프로그램이 유통돼 최대 5000명이 영향을 받은 것으로 나타났습니다. 커서는 30일(현지시간) 해당 변조 프로그램이 전날 마켓플레이스에 등록됐으며, 29일 오전 2시27분부터 오후 1시35분까지 약 11시간 동안 노출됐다고 밝혔습니다. 이 프로그램은 앤트로픽이 개발한 정식 확장 프로그램이 아닙니다.

악성 확장 프로그램은 호스트 이름, 사용자 이름, 운영체제, 공용 IP 주소 등 시스템 정보를 수집하려 했습니다. 공격자는 원격 접근을 시도하며 백도어 스크립트를 실행하고, 지정한 SSH 공개키(svc-telemetry)를 시스템에 강제로 등록해 접근을 지속하려 한 것으로 파악됐습니다. SSH 공개키는 보안 연결에서 사용자나 시스템을 확인하는 데 쓰이는 암호화 키입니다.

원격 접근의 핵심 단계는 관리자 권한이 필요해 대부분의 컴퓨터에서 실패했습니다. 따라서 실제 시스템 장악이나 심각한 피해로 이어졌을 가능성은 제한적인 것으로 확인됐습니다. 커서는 악성 버전을 발견한 뒤 마켓플레이스에서 삭제하고 추가 배포를 막았으며, 예방 차원에서 운영을 일시 중단했습니다. 관련 시스템을 재구축한 뒤 마켓플레이스는 다시 온라인 상태가 됐습니다.

보안 업계는 확장 프로그램 삭제만으로 안전을 확인할 수 없다며, 시스템에 무단 SSH 키나 백도어 잔여물이 남았는지 사용자가 직접 점검하고 제거해야 한다고 경고했습니다. 커서는 이번 사고가 마켓플레이스의 다른 확장 프로그램에는 영향을 미치지 않았다고 밝혔습니다. 기사는 공식 제품명을 내건 변조 프로그램이 마켓플레이스에서 배포되면 정식 도구와 악성 버전을 구별하기 어려울 수 있다며, 확장 프로그램의 출처와 게시자를 확인해야 한다고 전했습니다.

커서의 VS Code 확장 프로그램 마켓플레이스에서 앤트로픽의 클로드 코드를 사칭한 악성 확장 프로그램이 유통돼 최대 5000명이 영향을 받은 것으로 나타났습니다. 커서는 30일(현지시간) 해당 변조 프로그램이 전날 마켓플레이스에 등록됐으며, 29일 오전 2시27분부터 오후 1시35분까지 약 11시간 동안 노출됐다고 밝혔습니다. 이 프로그램은 앤트로픽이 개발한 정식 확장 프로그램이 아닙니다.

악성 확장 프로그램은 호스트 이름, 사용자 이름, 운영체제, 공용 IP 주소 등 시스템 정보를 수집하려 했습니다. 공격자는 원격 접근을 시도하며 백도어 스크립트를 실행하고, 지정한 SSH 공개키(svc-telemetry)를 시스템에 강제로 등록해 접근을 지속하려 한 것으로 파악됐습니다. SSH 공개키는 보안 연결에서 사용자나 시스템을 확인하는 데 쓰이는 암호화 키입니다.

원격 접근의 핵심 단계는 관리자 권한이 필요해 대부분의 컴퓨터에서 실패했습니다. 따라서 실제 시스템 장악이나 심각한 피해로 이어졌을 가능성은 제한적인 것으로 확인됐습니다. 커서는 악성 버전을 발견한 뒤 마켓플레이스에서 삭제하고 추가 배포를 막았으며, 예방 차원에서 운영을 일시 중단했습니다. 관련 시스템을 재구축한 뒤 마켓플레이스는 다시 온라인 상태가 됐습니다.

보안 업계는 확장 프로그램 삭제만으로 안전을 확인할 수 없다며, 시스템에 무단 SSH 키나 백도어 잔여물이 남았는지 사용자가 직접 점검하고 제거해야 한다고 경고했습니다. 커서는 이번 사고가 마켓플레이스의 다른 확장 프로그램에는 영향을 미치지 않았다고 밝혔습니다. 기사는 공식 제품명을 내건 변조 프로그램이 마켓플레이스에서 배포되면 정식 도구와 악성 버전을 구별하기 어려울 수 있다며, 확장 프로그램의 출처와 게시자를 확인해야 한다고 전했습니다.