Cursor eliminó una versión maliciosa de la extensión Claude Code de Anthropic de su mercado de extensiones después de descubrir que el paquete había sido modificado para instalar una puerta trasera SSH persistente en las máquinas de los desarrolladores. En un aviso de seguridad publicado el 29 de octubre, Cursor dijo que el paquete troyanizado, listado como Anthropic.claude-code versión 2.1.313, no fue desarrollado por Anthropic y que como máximo 5.000 usuarios se vieron afectados. Según Reuters, la empresa se está comunicando directamente con esos usuarios.
La divulgación es un recordatorio discordante de que las herramientas de codificación de IA a las que ahora confían los desarrolladores con su código fuente, credenciales y acceso al shell son en sí mismos objetivos de la cadena de suministro. Para obtener más contexto sobre las presiones de seguridad que se generan en torno a las herramientas para desarrolladores de IA, consulte nuestra cobertura de la industria de la IA.
Un período de distribución de dos horas
Según la cronología de Cursor, la versión maliciosa de la extensión estuvo disponible en su mercado aproximadamente entre las 2:27 a.m. PT y la 1:35 p.m. PT el 29 de octubre: una ventana de aproximadamente once horas. Durante ese período, cualquier desarrollador que instalara o actualizara a la versión 2.1.313 de la extensión Claude Code recibió el paquete manipulado en lugar del código producido por Anthropic.
Cursor dijo que eliminó la versión maliciosa del mercado inmediatamente después de su detección y bloqueó su distribución. Luego, la compañía fue un paso más allá y cerró temporalmente todo su mercado de extensiones por lo que describió como mucha precaución.
Qué hizo la extensión maliciosa
El equipo de seguridad de Cursor documentó el comportamiento de la extensión con un detalle inusual. Una vez instalado, el paquete ejecutaba código que intentaba establecer una puerta trasera persistente a través de varias etapas:
- Reconocimiento. La extensión recopiló el nombre de host de la máquina, el nombre de usuario, el sistema operativo, la arquitectura, la ruta del directorio de inicio, los nombres de las variables de entorno, los directorios de trabajo, el correo electrónico de Git configurado y la dirección IP pública.
- Inyección de clave SSH. Intentó agregar una clave SSH controlada por el atacante al archivo `authorized_keys` de la máquina, habilitar el servicio SSH local y abrir un túnel SSH inverso a un servidor controlado por el atacante.
- Persistencia. Los scripts en segundo plano reintentaban el túnel inverso aproximadamente cada 60 segundos. En macOS, el malware intentó hacer que el túnel fuera persistente a través de un LaunchAgent; en Windows, intentó registrar una tarea programada que se ejecutaba como SISTEMA, con un script de inicio alternativo.
- Beaconing. La máquina infectada informó los detalles del host y el estado de la puerta trasera a través de una solicitud HTTP POST a un punto final `/beacon` en el puerto 8099.
Por qué el daño puede ser limitado
Hay dos factores atenuantes importantes. En primer lugar, habilitar el servicio SSH local requiere derechos de administrador, que la extensión maliciosa no tiene en la mayoría de las máquinas macOS y Windows. Cursor señaló que, salvo circunstancias muy inusuales en las que el editor se iniciaba con privilegios de administrador, los errores en el código malicioso causaban que este paso fallara, lo que significa que el atacante probablemente no pudo iniciar sesión a través del túnel en esos hosts. Sin embargo, la extensión logró agregar la clave SSH del atacante, instalar sus mecanismos de persistencia y enviar detalles del host al servidor del atacante.
En segundo lugar, la infraestructura del atacante ahora está fuera de línea. Cursor dijo que trabajó con el proveedor de la nube que aloja el servidor de comando y control para eliminarlo, por lo que el shell inverso y la baliza de detalles del host ya no funcionan.
La compañía también afirmó que no tiene evidencia de que otras versiones de la extensión o los canales de distribución oficiales de Anthropic se hayan visto afectados.
Cierre, auditoría y reconstrucción del mercado
La respuesta de Cursor fue más allá de eliminar el único paquete defectuoso. La compañía dijo que realizó una auditoría completa del acceso al mercado y confirmó que no se había alterado ninguna otra extensión, rotó sus claves, reconstruyó la infraestructura del mercado y la volvió a poner en línea. Se insta a los desarrolladores que instalaron o actualizaron a la versión 2.1.313 durante el período de exposición a seguir los pasos de reparación y los indicadores de compromiso (que cubren la actividad SSH, los archivos y los mecanismos de persistencia, y la actividad del proceso) que Cursor publicó junto con su aviso.
Un disparo de advertencia para el ecosistema de herramientas de IA
El incidente ilustra cómo la economía del desarrollo asistido por IA ha cambiado el cálculo de los atacantes. Una única versión troyanizada de una extensión popular, activa durante unas horas, llegó potencialmente a miles de estaciones de trabajo de desarrolladores: máquinas que normalmente contienen código fuente, credenciales de nube y acceso a sistemas de producción.
También destaca la diferencia entre los canales de distribución oficiales y los mercados de terceros. La extensión Claude Code de Anthropic se distribuye a través de canales establecidos, pero Cursor opera su propio mercado para su editor basado en VS Code, y fue la lista de ese mercado la que se vio comprometida. A medida que los asistentes de codificación de IA se convierten en equipos estándar en toda la industria del software, la integridad de los registros que los distribuyen se convierte en un perímetro de seguridad en sí mismo, uno que, hasta esta semana, relativamente pocas organizaciones pensaban auditar.
Para los hasta 5.000 usuarios afectados, la prioridad inmediata es revisar la lista de verificación de corrección de Cursor. Para todos los demás, el episodio es una razón para revisar qué extensiones tienen acceso profundo a sus entornos de desarrollo y pensar dos veces antes de permitir que una actualización se instale silenciosamente.
---
Obtenga las últimas noticias, análisis y avances en IA, todo en un solo lugar.
Leer más noticias sobre IA →
