Extensão adulterada do Claude Code atingiu até 5,000 usuários do Cursor

Uma cópia adulterada da extensão Claude Code, da Anthropic, ficou disponível na loja de extensões do Cursor por cerca de 11 horas na quinta-feira, 29 de outubro, e alcançou até 5,000 usuários. O caso foi divulgado em um aviso de segurança do Cursor. A Anthropic afirma que seus próprios sistemas não foram invadidos. O código malicioso tentava instalar uma porta dos fundos via SSH nas máquinas de desenvolvedores.

As versões afetadas foram a 2.1.312 e a 2.1.313, para Windows e macOS, ativas entre cerca de 2:27am e 1:35pm no horário do Pacífico. O Cursor orientou os usuários a migrar para a versão limpa 2.1.314. A empresa afirmou que a Anthropic não desenvolveu o código malicioso. A exposição foi curta, mas atingiu muita gente porque a atualização das extensões acontece de forma automática por padrão.

O que o ataque fazia

A extensão recolhia dados de identificação da máquina e do usuário, incluindo nome do computador, nome de usuário, e-mail do Git e endereço IP público. Em seguida, tentava adicionar a chave SSH do invasor e ligar o serviço SSH do computador. SSH, sigla para Secure Shell, é um recurso de acesso remoto — na prática, essa chave extra daria ao invasor uma porta de entrada permanente.

O código ainda tentava abrir um túnel reverso para o servidor do atacante, mas essa etapa exige permissões de administrador, que a extensão não tem na maioria dos PCs com macOS e Windows, e por isso costumava falhar, segundo o Cursor. Mesmo assim, a chave, os scripts de persistência e o envio de dados foram concluídos. Desinstalar a extensão pode não ser suficiente para eliminar esses resíduos. Por isso o Cursor publicou scripts para verificar e remover a invasão.

Além disso, o malware enviava os nomes de até 40 variáveis de ambiente ligadas a chaves, tokens e segredos, sem enviar os valores, segundo apuração da empresa de segurança Phorion. Isso entrega ao invasor um mapa rápido de quais credenciais de nuvem existem em cada máquina. O detalhe aumenta o risco mesmo para quem não teve o túnel aberto.

Como entrou e resposta

A Phorion foi a primeira a alertar sobre o problema. O cofundador e diretor de tecnologia da empresa, Luke Roberts, disse ao site Ars Technica que a versão maliciosa saiu pelo canal oficial de distribuição da Anthropic no Cursor. Nem a Anthropic nem o Cursor explicaram como o invasor conseguiu esse acesso. Como a atualização é automática, muitos usuários receberam o código sem clicar em nada.

The malicious version 2.1.313 was posted to the official Anthropic account, effectively superseding 2.1.312,

Luke Roberts, cofundador e diretor de tecnologia da Phorion

Após detectar o incidente, o Cursor removeu as versões afetadas e fechou toda a loja de extensões para revisar os outros itens. Depois, trocou suas chaves internas, reabriu a loja e conseguiu tirar do ar o servidor do invasor. A orientação é atualizar para a 2.1.314 e rodar a ferramenta oficial de limpeza, em vez de apenas apagar a extensão.

Ataques desse tipo, chamados de supply-chain, miram ferramentas de desenvolvedores e atingiram pacotes npm neste ano. Pesquisadores já alertavam que ferramentas de código com inteligência artificial podem ampliar o estrago, porque um único canal comprometido distribui malware para milhares de uma vez.