Extensión adulterada de Claude Code afectó hasta a 5,000 usuarios de Cursor

Una copia adulterada de la extensión Claude Code, de Anthropic, estuvo disponible en la tienda de extensiones de Cursor durante unas 11 horas el jueves 29 de octubre, y alcanzó hasta 5,000 usuarios. El caso fue divulgado en un aviso de seguridad de Cursor. Anthropic afirma que sus propios sistemas no fueron vulnerados. El código malicioso intentaba instalar una puerta trasera vía SSH en los equipos de los desarrolladores.

Las versiones afectadas fueron la 2.1.312 y la 2.1.313, para Windows y macOS, activas entre alrededor de las 2:27am y la 1:35pm hora del Pacífico. Cursor indicó a los usuarios migrar a la versión limpia 2.1.314. La empresa afirmó que Anthropic no desarrolló el código malicioso. La exposición fue breve, pero afectó a mucha gente porque la actualización de extensiones ocurre de forma automática por defecto.

Qué hacía el ataque

La extensión recolectaba datos de identificación del equipo y del usuario, incluyendo nombre del equipo, nombre de usuario, correo de Git y dirección IP pública. Luego intentaba añadir la llave SSH del atacante y activar el servicio SSH del equipo. SSH, sigla de Secure Shell, es una función de acceso remoto — en la práctica, esa llave extra le daría al atacante una puerta de entrada permanente.

El código además intentaba abrir un túnel inverso hacia el servidor del atacante, pero ese paso exige permisos de administrador, que la extensión no tiene en la mayoría de las PC con macOS y Windows, y por eso solía fallar, según Cursor. Aun así, la llave, los scripts de persistencia y el envío de datos sí se completaron. Desinstalar la extensión puede no ser suficiente para eliminar esos residuos. Por eso Cursor publicó scripts para verificar y eliminar la intrusión.

Además, el malware enviaba los nombres de hasta 40 variables de entorno vinculadas a llaves, tokens y secretos, sin enviar los valores, según investigación de la empresa de seguridad Phorion. Esto le entrega al atacante un mapa rápido de qué credenciales de nube existen en cada equipo. El detalle aumenta el riesgo incluso para quienes no tuvieron el túnel abierto.

Cómo entró y la respuesta

Phorion fue la primera en alertar sobre el problema. El cofundador y director de tecnología de la empresa, Luke Roberts, dijo al sitio Ars Technica que la versión maliciosa salió por el canal oficial de distribución de Anthropic en Cursor. Ni Anthropic ni Cursor explicaron cómo el atacante logró ese acceso. Como la actualización es automática, muchos usuarios recibieron el código sin hacer clic en nada.

La versión maliciosa 2.1.313 fue publicada en la cuenta oficial de Anthropic, reemplazando en la práctica a la 2.1.312,

Luke Roberts, cofundador y director de tecnología de Phorion

Tras detectar el incidente, Cursor eliminó las versiones afectadas y cerró toda la tienda de extensiones para revisar los demás elementos. Después, rotó sus llaves internas, reabrió la tienda y logró dar de baja el servidor del atacante. La recomendación es actualizar a la 2.1.314 y ejecutar la herramienta oficial de limpieza, en lugar de solo borrar la extensión.

Ataques de este tipo, llamados supply-chain, apuntan a herramientas de desarrolladores y afectaron a paquetes npm este año. Los investigadores ya advertían que las herramientas de código con inteligencia artificial pueden amplificar el daño, porque un solo canal comprometido distribuye malware a miles de una sola vez.