---
title: "Extension Claude Code giả mạo trên Cursor Marketplace: cách kiểm tra máy"
description: "Extension Claude Code giả mạo trên Cursor Marketplace cố cài backdoor SSH lên macOS, Windows. Gỡ extension thôi chưa đủ, phải kiểm tra key lạ trong máy."
canonical: "https://200lab.io/blog/claude-code-extension-cursor-ssh-backdoor"
published: "2026-11-01T03:56:59Z"
updated: "2026-11-01T03:56:59Z"
authors: ["Mỹ Ngọc"]
tags: ["AI", "Agent"]
reading_minutes: 6
access: "public"
---

Ngày 29/10/2026, trong [thông báo bảo mật của Cursor](https://cursor.com/blog/claude-code-extension-security-notice), hãng cho biết marketplace, tức chợ extension (phần cài thêm cho trình soạn code) ngay trong Cursor, đã phát tán một bản extension Claude Code giả mạo trong khoảng 11 tiếng. Bản giả mạo này cố cài backdoor qua SSH, tức kênh đăng nhập và điều khiển máy từ xa, lên máy người dùng macOS và Windows.

Bài này tóm tắt bản chứa mã độc đã làm gì trên máy, ai bị ảnh hưởng và ai không, kèm cách kiểm tra máy và vài điều người hay cài extension cho công cụ AI nên nhớ.

## Extension Claude Code giả mạo trên Cursor Marketplace: chuyện gì đã xảy ra

Hai bản Anthropic.claude-code 2.1.312 và 2.1.313 cho Windows và macOS trên marketplace của Cursor là bản có chứa mã độc, Anthropic không làm ra chúng. Hai bản này nằm trên chợ từ khoảng 16h27 ngày 29/10 tới 3h35 ngày 30/10 giờ Việt Nam. Theo Socket, Cursor xác nhận tối đa khoảng 5.000 người dùng có thể bị ảnh hưởng và hãng đang liên hệ trực tiếp.

Ngay khi phát hiện, Cursor gỡ hai bản này, chặn phân phối và tắt toàn bộ marketplace để phòng xa. Họ rà soát quyền truy cập, xác nhận không extension nào khác bị sửa, sau đó đổi key, dựng lại marketplace rồi mở lại. Cursor cũng làm việc với nhà cung cấp cloud để tắt server của kẻ tấn công.

## Extension chứa mã độc đã làm gì trên máy người dùng

Theo Cursor và Microsoft, bản giả mạo chạy các bước sau:

1. **Chạy ngầm ngay khi mở.** Theo Microsoft, mã độc chạy ngay khi extension được nạp, trước cả code thật, trong khi extension vẫn hoạt động bình thường nên người dùng khó nhận ra.
2. **Gửi thông tin máy ra ngoài.** Nó thu thập tên máy, tên người dùng, email Git, IP public cùng tên các biến môi trường (environment variable) có chữ KEY, TOKEN, SECRET, PASS, AWS, GCP rồi gửi về server kẻ tấn công. Theo Microsoft, mã độc chỉ gửi tên chứ không gửi giá trị, nên việc này cho thấy máy có loại cấu hình nhạy cảm nào nhưng chưa chứng minh secret bị lấy.
3. **Cố mở lối vào từ xa.** Mã độc cố thêm SSH key của kẻ tấn công vào `authorized_keys` (file liệt kê các key được phép đăng nhập vào máy), bật SSH và mở reverse SSH tunnel, tức đường hầm từ máy nạn nhân nối ra server kẻ tấn công để từ đó đi ngược vào máy.
4. **Cố bám trụ lâu dài.** Nó dùng LaunchAgent trên macOS hoặc scheduled task trên Windows để tự chạy lại, script chạy nền thử nối lại khoảng mỗi 60 giây.

Theo Cursor, bật SSH service cần quyền admin, thứ extension giả mạo không có trên phần lớn máy, nên ở những máy đó bước này thất bại và kẻ tấn công không đăng nhập được qua đường hầm. Dù vậy, SSH key lạ, script tự chạy và thông tin máy đã được ghi hoặc gửi đi, nên người dùng vẫn phải xử lý.

## Ai bị ảnh hưởng: Anthropic, VS Code Marketplace, npm và Grok Bot

Sự cố chỉ ảnh hưởng người đã cài hoặc cập nhật hai bản 2.1.312 và 2.1.313 từ marketplace của Cursor trên macOS hoặc Windows trong khung giờ trên. Microsoft xác nhận Visual Studio Marketplace và npm không phát tán gói chứa mã độc, còn Anthropic xác nhận với Microsoft rằng hệ thống của họ không bị xâm nhập. Cursor cho biết sự cố không ảnh hưởng Grok Bot, Grok và các sản phẩm khác của SpaceXSI.

Lúc sự việc mới nổ ra, báo cáo đầu tiên nói bản giả mạo nằm trên kho mở Open VSX, nhưng khi Socket rà lịch sử Open VSX và npm thì không thấy và bài đó đã được sửa lại. Tin bảo mật trong mấy giờ đầu có thể nhầm nơi phát tán, nên bạn đọc thông báo của chính hãng để biết mình có cần xử lý hay không.

## Cách kiểm tra máy và xử lý nếu đã cài bản 2.1.312 hoặc 2.1.313

Trên macOS, bạn mở Terminal và chạy lệnh kiểm tra Cursor đưa ra. Lệnh này chỉ đọc file `authorized_keys` để tìm chữ `svc-telemetry`.

```bash
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"
```

Người dùng Windows có lệnh PowerShell riêng nằm trong thông báo của Cursor.

1. Nếu thấy key lạ, bạn cô lập máy rồi dùng script xử lý của Cursor để xóa key lạ, cơ chế tự chạy và tiến trình đường hầm.
2. Bạn cân nhắc cài lại máy để sạch hẳn các phần còn sót.
3. Bạn dùng máy khác đáng tin để đổi mật khẩu, token và các session đăng nhập từng mở trên máy bị ảnh hưởng.

Theo Cursor và Microsoft, chỉ gỡ extension thôi là chưa đủ vì script chứa mã độc nằm ngoài thư mục extension.

## Cài extension cho công cụ AI an toàn hơn sau vụ Claude Code giả mạo

Đọc xong thông báo, chi tiết mình nhớ nhất là người dùng không cần chat hay bấm nút gì, chỉ cần mở trình soạn code là mã độc đã chạy với quyền của chính mình. Extension mang tên quen thuộc vẫn có thể là bản giả mạo.

Nó cũng nhắc lại nguyên tắc chỉ cấp quyền vừa đủ mà mình từng viết trong bài [cách chia quyền cho AI agent](https://200lab.io/blog/cho-bot-quyen-gi-phan-quyen-ai-agent).

Microsoft khuyên các tổ chức chỉ cho cài extension từ nhà phát hành đã duyệt và đặt thời gian chờ trước khi cài bản mới. Cursor có sẵn tính năng Marketplace Install Cooldown cho team, nhưng mặc định là 0 giờ, tức chưa bật; người dùng cá nhân có thể tự đặt `extensions.installCooldownHours` trong settings để trì hoãn cài bản vừa đăng.

Nhìn vào hiện trạng tháng 10/2026, mình đoán khi ngày càng nhiều người cài extension, plugin, MCP server cho công cụ AI, kẻ xấu sẽ nhắm vào chỗ cài đặt này nhiều hơn. Các chợ extension rồi cũng sẽ thêm lớp duyệt và thời gian chờ trước khi cho tải bản mới.

Ngay lúc này, bạn có thể mở danh sách extension trong Cursor hoặc VS Code, gỡ những cái lâu rồi không dùng, còn cái nào giữ lại thì nhìn kỹ tên nhà phát hành xem có đúng hãng không. Nếu bạn dùng Claude Code trong Cursor trên macOS hay Windows thì chạy luôn lệnh kiểm tra ở trên cho yên tâm.

## Nguồn tham khảo

- Security notice: malicious version of Anthropic.claude-code (2.1.312 and 2.1.313), blog Cursor, 29/10/2026 (link ở đoạn mở bài)
- [Inside a malicious Claude Code-branded extension and its persistent SSH backdoor](https://www.microsoft.com/en-us/security/blog/2026/10/30/inside-malicious-claude-code-branded-cursor-extension-persistent-ssh-backdoor/), Microsoft Security Blog, 30/10/2026
- [Cursor Removes Malicious Claude Code 2.1.313 Extension From Its Marketplace](https://socket.dev/blog/claude-code-extension-compromise), Socket, 30/10/2026
- [Extensions](https://cursor.com/help/customization/extensions), tài liệu hỗ trợ của Cursor

## Đọc thêm

- [Thử dùng Jev gánh việc chọn lọc mỗi sáng để Grok Bot đỡ tốn token](https://200lab.io/blog/jev-grok-bot-decisions.md): Jev của TypeSafe AI giúp Grok Bot chọn lọc và ra quyết định bằng JSON xác suất: lọc tin, phân loại tin nhắn khách, kiểm tra bản nháp, giảm token mỗi ngày.
- [Diagram Director: template Grok Bot vẽ sơ đồ system design có chuyển động](https://200lab.io/blog/grok-bot-diagram-director.md): Diagram Director là template Grok Bot vẽ sơ đồ system design có chuyển động; mọi con số phải nằm trong solution sheet trước khi dựng diagram.
- [Self Evolution: cách để Grok Bot tự cải tiến liên tục từ kinh nghiệm làm việc và người dùng](https://200lab.io/blog/grok-bot-self-evolution.md): Self Evolution giúp Grok Bot rút bài học từ việc hằng ngày, nhưng bot chỉ học khi có ghi log kèm bằng chứng và thay đổi rủi ro vẫn chờ bạn duyệt.
- [OpenAI công bố hệ thống giám sát AI agent sau vụ Hugging Face](https://200lab.io/blog/openai-ai-agent-monitoring-system.md): Giám sát AI agent ở OpenAI có 4 lớp, dựng sau vụ agent thoát sandbox. Hãng làm model còn phải soi agent, người giao việc càng cần chỗ xem lại bot làm gì.
- [Cách đặt Grok Bot gửi bản tin cuối ngày nhắc việc cho chủ shop](https://200lab.io/blog/grok-bot-daily-digest-routine.md): Bản tin cuối ngày giúp người bán một mình gom việc còn treo. Với routine của Grok Bot, bot chỉ đọc bảng và nhắc việc theo lịch, chủ shop vẫn tự quyết định.
- [Mọi bài viết chủ đề AI](https://200lab.io/blog/tags/ai.md)

Toàn bộ nội dung: https://200lab.io/llms.txt