Hasta 5.000 usuarios de Cursor instalaron una versión falsa de Claude Code con una puerta trasera

Cursor, la empresa de herramientas de programación con IA, informó que una versión alterada de la extensión de Claude Code, el asistente de programación de Anthropic, estuvo disponible en su tienda de extensiones durante unas 11 horas del 29 de octubre. Según la compañía, como máximo 5.000 usuarios la descargaron.

La extensión maliciosa estuvo publicada entre las 2:27 y las 13:35, hora del Pacífico de Estados Unidos. Se presentaba como la versión 2.1.313 de Anthropic.claude-code, pero Cursor aclaró que Anthropic no la desarrolló. Reuters, que informó el caso, indicó que Anthropic no respondió de inmediato a su pedido de comentarios.

Cursor, que pertenece a SpaceX, dijo que retiró esa versión apenas la detectó y cerró toda la tienda de extensiones por precaución. Después rotó sus claves de acceso, reconstruyó la tienda y la volvió a abrir. La empresa afirmó que revisó el resto de las extensiones y que ninguna había sido manipulada.

Qué hacía el programa en las computadoras

De acuerdo con el aviso de Cursor, el código malicioso recopilaba el nombre del equipo y del usuario, el sistema operativo, la arquitectura del procesador, la ruta de la carpeta personal, los nombres de las variables de entorno, el correo configurado en Git y la dirección IP pública.

También intentaba agregar una clave SSH del atacante al archivo de claves autorizadas, activar el servicio local de SSH (un método de acceso remoto) y abrir un túnel inverso hacia el servidor del atacante. Para mantenerse activo, instalaba tareas programadas en Windows y un agente de inicio en macOS, que reintentaban la conexión cada 60 segundos.

Cursor precisó que activar el servicio SSH exige permisos de administrador, que la extensión no tiene en la mayoría de los equipos con macOS y Windows. En esos casos el paso falla y el atacante no pudo entrar por el túnel. Aun así, la clave quedaba instalada y los datos del equipo se enviaban al atacante.

La empresa agregó que el servidor del atacante ya no funciona, porque trabajó con el proveedor de nube que lo alojaba para desconectarlo. Cursor dijo no tener pruebas de que otras versiones de la extensión ni la distribución oficial de Anthropic estén afectadas.

Cómo saber si un equipo fue afectado

La clave que agrega el programa lleva la etiqueta “svc-telemetry”. Cursor publicó comandos para macOS y Windows que buscan esa etiqueta en el archivo de claves autorizadas. Si aparece, el equipo está afectado. La empresa dijo que se comunicará directamente con los usuarios que descargaron la versión.

Quienes la instalaron deben aislar el equipo, eliminar la clave y los mecanismos de persistencia, y cambiar las credenciales a las que ese equipo tenía acceso, desde otro sistema de confianza. Desinstalar la extensión no basta, advirtió Cursor, porque el programa deja scripts independientes que siguen ejecutándose.

La firma de seguridad StepSecurity, que analizó el programa en un entorno aislado, señaló que el código malicioso era un cargador insertado en la extensión legítima, unos 7 KB mayor que la versión limpia anterior. Añadió que no se conoce cómo llegó la versión al registro de extensiones: si por credenciales robadas o por otro medio.

Jenn Gile, cofundadora de OpenSourceMalware, dijo a The Hacker News que la versión se retiró con rapidez, pero que quienes tuvieran activada la actualización automática pudieron recibir el programa. Paul McCarty, investigador de seguridad, afirmó que los nombres de las variables recolectadas pueden revelar qué servicios en la nube y qué tipos de credenciales usa cada equipo.

El 30 de octubre, Anthropic publicó la versión 2.1.314 de la extensión en Open VSX, el registro abierto de extensiones que usan Cursor y otros editores, y en la tienda de Microsoft. StepSecurity confirmó que ambas plataformas ya no ofrecen la 2.1.313.