커서 클로드 코드 확장 악성 버전, 내 PC 감염됐나? 확인법

무슨 일이 있었나요?

커서(Cursor)의 마켓플레이스(확장 프로그램을 내려받는 곳)에 악성 claude-code 확장이 올라왔습니다. 이 확장은 Anthropic이 만든 게 아니라 누군가 변조한 가짜 버전입니다. Anthropic의 정식 클로드 코드와는 다른 제품입니다.

공식 발표에 따르면 이 확장은 두 가지를 하려고 했습니다.

• 호스트 정보 수집: 내 컴퓨터의 기본 정보를 모았습니다.
• SSH 백도어 설치 시도: SSH(다른 컴퓨터에 원격으로 접속하는 통로)를 몰래 열어 공격자가 드나들 뒷문을 만들려고 했습니다.

SSH를 켜려면 관리자 권한이 필요해서 대부분은 실패했다고 합니다. 감염된 PC는 약 60초마다 역방향 터널(내 PC가 공격자 서버 쪽으로 먼저 연결을 여는 통로)을 다시 열려고 시도합니다. 지금 공격자 서버(134.209.82.225)는 오프라인 처리됐습니다.

한국 사용자도 영향을 받나요?

공식 발표에는 나라별로 대상을 나눈 내용이 없습니다. 한국에서 커서를 쓰더라도 버전·운영체제·시간 세 가지가 맞으면 대상입니다.

공지에 나온 시간은 미국 서부 시간이라 한국 시간으로 바꿔 보면 아래와 같습니다. 한국에서는 퇴근 뒤 저녁부터 다음 날 새벽까지였습니다.

이 시간에 커서 클로드 코드 확장을 새로 깔았거나 자동 업데이트를 받았다면 확인이 필요합니다. 밤새 커서를 켜 두고 퇴근했다면 자동 업데이트로 받았을 수 있으니 더 꼼꼼히 보세요. 커서는 10월 30일에 IOC(침해 지표: 감염됐을 때 남는 흔적 목록)를 갱신하고 영향 버전을 더 분명하게 밝혔습니다.

감염됐는지 어떻게 확인하고 정리하나요?

아래 순서대로 점검하세요.

1. 커서에서 claude-code 확장 버전이 2.1.312 또는 2.1.313이었는지 확인합니다.
2. 한국 시간 10월 29일 저녁~30일 새벽에 설치·업데이트했는지 떠올려 봅니다.
3. 컴퓨터에 'svc-telemetry'라는 이름의 SSH 키가 있는지 봅니다. 있으면 감염된 것으로 봐야 합니다.
4. 확장을 지웁니다.
5. 커서 공식 보안 공지에서 주는 정리 스크립트를 실행합니다.

4번만으로는 끝나지 않습니다. 커서도 확장 제거만으로는 부족하다고 밝히고 정리 스크립트를 따로 내놓았습니다. 확장이 남긴 SSH 키 같은 흔적은 확장을 지워도 남을 수 있기 때문입니다.

커서 쪽에서는 악성 버전을 지웠고, 마켓플레이스를 잠시 멈춘 뒤 다시 구축했습니다.

요금과 무료 한도는 얼마이고, 비슷한 도구와 비교하면 어떤가요?

이번 사고로 커서 요금이나 무료 범위가 바뀌었다는 내용은 공식 발표에 없습니다. 피해 보상이나 요금 감면 이야기도 공식 발표에 없습니다.

커서 요금은 2026-09-25 확인 기준으로 이렇습니다. 원화 요금은 아직 확인되지 않아 달러로 적었습니다.

• Hobby: 무료. 신용카드 없이 쓸 수 있고 Agent·Chat·Tab 완성을 정해진 사용량만큼 제공
• Pro: 월 20달러
• Pro+: 월 60달러

이번 일은 커서 본체가 아니라 마켓플레이스에 올라온 커서 클로드 코드 확장에서 생긴 문제입니다. 다른 AI 코딩 도구를 쓸 때도 확장은 만든 곳(게시자)을 꼭 확인하세요.