앤스로픽 클로드 확장 프로그램, 백도어 감염

테크 · 2026-10-31 · Ars Technica

앤스로픽의 클로드 모델용 공식 VS코드 확장 프로그램이 커서 마켓플레이스에서 악성 코드에 감염된 채 배포됐다. 공격자는 앤스로픽의 공식 배포 계정을 장악해 정식 업데이트 형태로 백도어를 심었고, 상당수 개발자 환경이 노출됐다. 앤스로픽은 아직 사용자 공지를 하지 않고 있다.

앤스로픽의 클로드 모델용 공식 VS코드 확장 프로그램이 커서 마켓플레이스에서 백도어에 감염된 채 배포됐다. 공격자는 앤스로픽의 공식 배포 계정을 장악해 악성 버전을 정식 업데이트로 올렸고, 확장 프로그램이 기본적으로 자동 업데이트되는 구조 탓에 적지 않은 개발자 환경이 그대로 노출됐다. 두 회사는 공격자가 어떻게 계정 권한을 얻었는지 아직 밝히지 않고 있다.

악성 코드는 공격자가 통제하는 SSH 키를 심고 로컬 SSH 서비스를 켜 역방향 터널을 여는 방식으로 상시 접속 통로를 만들려 했다. 윈도우와 맥OS, 리눅스에서 모두 작동하도록 작성됐으며, 확장 프로그램이 개발도구(IDE) 권한으로 실행되는 만큼 설치된 기기의 로컬 파일과 소스 코드, 클라우드 자격 증명과 API 토큰까지 노출될 수 있었다. 다만 윈도우·맥OS용 코드의 결함으로 실제 작동하지 않은 사례도 있었다.

커서는 악성 버전을 마켓플레이스에서 제거하고 유포를 차단했으며, 역방향 셸이 연결되던 서버의 클라우드 사업자와 협력해 감염 기기가 더는 접속하지 못하도록 막았다. 마켓플레이스도 일시 폐쇄해 키 교체와 접근 권한 점검, 다른 확장 프로그램의 감염 여부 확인을 거친 뒤 다시 열었다.

앤스로픽은 아직 사용자에게 이번 사고를 공지하지 않고 있다. 해당 시간대에 확장 프로그램을 설치하거나 업데이트한 개발자는 감염 가능성을 염두에 두고 자격 증명 교체와 침해 지표 점검에 나서야 한다. 안전한 버전이 배포됐더라도 이미 감염된 기기의 백도어가 자동으로 사라지는 것은 아니다.