O Cursor removeu uma versão maliciosa da extensão Claude Code da Anthropic de seu mercado de extensões depois de descobrir que o pacote foi modificado para instalar um backdoor SSH persistente nas máquinas dos desenvolvedores. Em um aviso de segurança publicado em 29 de outubro, o Cursor disse que o pacote trojanizado – listado como Anthropic.claude-code versão 2.1.313 – não foi desenvolvido pela Anthropic e que no máximo 5.000 usuários foram afetados. Segundo a Reuters, a empresa está entrando em contato diretamente com esses usuários.
A divulgação é um lembrete chocante de que os desenvolvedores de ferramentas de codificação de IA agora confiam seu código-fonte, credenciais e acesso ao shell são, eles próprios, alvos da cadeia de suprimentos. Para obter mais contexto sobre as pressões de segurança geradas em torno das ferramentas de desenvolvimento de IA, consulte nossa cobertura do setor de IA.
Uma janela de distribuição de duas horas
De acordo com a linha do tempo do Cursor, a versão maliciosa da extensão estava disponível em seu mercado entre aproximadamente 2h27, horário do Pacífico, e 13h35, horário do Pacífico. PT em 29 de outubro – uma janela de cerca de onze horas. Durante esse período, qualquer desenvolvedor que instalasse ou atualizasse para a versão 2.1.313 da extensão Claude Code recebia o pacote adulterado em vez do código produzido pela Anthropic.
A Cursor disse que removeu a versão maliciosa do mercado imediatamente após a detecção e bloqueou a distribuição posterior. A empresa então deu um passo além, fechando temporariamente todo o seu mercado de extensão por causa do que descreveu como muita cautela.
O que a extensão maliciosa fez
A equipe de segurança do Cursor documentou o comportamento da extensão com detalhes incomuns. Uma vez instalado, o pacote executou um código que tentou estabelecer um backdoor persistente através de vários estágios:
- Reconhecimento. A extensão coletou o nome do host da máquina, nome de usuário, sistema operacional, arquitetura, caminho do diretório inicial, nomes de variáveis de ambiente, diretórios de trabalho, e-mail Git configurado e endereço IP público.
- Injeção de chave SSH. Ele tentou adicionar uma chave SSH controlada pelo invasor ao arquivo `authorized_keys` da máquina, ativar o serviço SSH local e abrir um túnel SSH reverso de volta para um servidor controlado pelo invasor.
- Persistência. Scripts em segundo plano tentavam novamente o túnel reverso aproximadamente a cada 60 segundos. No macOS, o malware tentou tornar o túnel persistente por meio de um LaunchAgent; no Windows, ele tentou registrar uma tarefa agendada em execução como SYSTEM, com um substituto de script de inicialização.
- Beaconing. A máquina infectada relatou detalhes do host e status do backdoor por meio de uma solicitação HTTP POST para um endpoint `/beacon` na porta 8099.
Por que os danos podem ser limitados
Existem dois fatores atenuantes importantes. Primeiro, habilitar o serviço SSH local requer direitos de administrador, que a extensão maliciosa não possui na maioria das máquinas macOS e Windows. Cursor observou que, fora de circunstâncias altamente incomuns em que o editor foi iniciado com privilégios de administrador, erros no código malicioso causaram falha nesta etapa – o que significa que o invasor provavelmente não conseguiria fazer login através do túnel nesses hosts. A extensão ainda conseguiu adicionar a chave SSH do invasor, instalar seus mecanismos de persistência e enviar detalhes do host ao servidor do invasor.
Em segundo lugar, a infra-estrutura do atacante está agora offline. O Cursor disse que trabalhou com o provedor de nuvem que hospeda o servidor de comando e controle para desativá-lo, de modo que o shell reverso e o beacon de detalhes do host não funcionem mais.
A empresa afirmou ainda não ter evidências de que outras versões da extensão ou canais de distribuição oficiais da Anthropic tenham sido afetados.
Encerramento, auditoria e reconstrução do Marketplace
A resposta do Cursor foi além da remoção do único pacote inválido. A empresa disse que conduziu uma auditoria completa do acesso ao mercado e confirmou que nenhuma outra extensão foi adulterada, alternou suas chaves, reconstruiu a infraestrutura do mercado e o colocou online novamente. Os desenvolvedores que instalaram ou atualizaram para a versão 2.1.313 durante a janela de exposição estão sendo incentivados a seguir as etapas de correção e indicadores de comprometimento – abrangendo atividade SSH, arquivos e mecanismos de persistência e atividade de processo – que o Cursor publicou junto com seu aviso.
Um aviso para o ecossistema de ferramentas de IA
O incidente ilustra como a economia do desenvolvimento assistido por IA mudou o cálculo dos atacantes. Uma única versão trojanizada de uma extensão popular, ativa por algumas horas, atingiu potencialmente milhares de estações de trabalho de desenvolvedores – máquinas que normalmente possuem código-fonte, credenciais de nuvem e acesso a sistemas de produção.
Também destaca a diferença entre canais de distribuição oficiais e mercados de terceiros. A extensão Claude Code da Anthropic é distribuída por meio de canais estabelecidos, mas o Cursor opera seu próprio mercado para seu editor baseado em VS Code, e foi a listagem desse mercado que foi comprometida. À medida que os assistentes de codificação de IA se tornam equipamentos padrão em toda a indústria de software, a integridade dos registros que os distribuem se torna um perímetro de segurança por si só – um perímetro que, até esta semana, relativamente poucas organizações pensavam em auditar.
Para até 5.000 usuários afetados, a prioridade imediata é executar a lista de verificação de correção do Cursor. Para todos os outros, o episódio é um motivo para revisar quais extensões têm acesso profundo aos seus ambientes de desenvolvimento e pensar duas vezes antes de permitir que uma atualização seja instalada silenciosamente.
---
Receba as últimas notícias, análises e avanços sobre IA — tudo em um só lugar.
Leia mais notícias sobre IA →
