Una extensión de Claude Code troyanizada en el marketplace de Cursor instaló puertas traseras SSH en equipos de desarrolladores

Una actualización maliciosa de la extensión Claude Code, el asistente de programación de Anthropic para editores basados en VS Code, se distribuyó el 29 de octubre a través del marketplace de Cursor con el identificador legítimo anthropic.claude-code. Según The Hacker News, los usuarios instalaron la versión manipulada 2.1.313 aproximadamente entre las 2:27 y las 13:35, hora del Pacífico; después, Cursor desconectó brevemente su marketplace para retirarla. La empresa asegura que hubo como máximo 5.000 afectados y que se pondrá en contacto con ellos directamente.

Qué hacía el código malicioso

Investigadores de OpenSourceMalware y el investigador independiente Paul McCarty descubrieron un cargador de 66 líneas colocado al principio del archivo JavaScript principal de la extensión. El resto del código coincidía con la versión auténtica, por lo que el asistente seguía funcionando con normalidad. En cuanto se cargaba la extensión, el código añadía una clave controlada por el atacante, con la etiqueta "svc-telemetry", a las claves SSH autorizadas del usuario, intentaba activar el servicio SSH y abría un túnel inverso hacia un servidor externo. Además, se aseguraba la persistencia mediante un LaunchAgent en macOS, una entrada de cron en Linux o una tarea programada en Windows.

El cargador enviaba por HTTP sin cifrar el nombre del equipo, el usuario, el sistema operativo, el correo de Git y los nombres, no los valores, de hasta 40 variables de entorno que parecían credenciales o claves de servicios en la nube. Cursor indica que activar SSH suele fallar en macOS y Windows sin permisos de administrador, aunque la clave y la persistencia se instalan igualmente. No se ha observado ninguna carga adicional.

Alcance y respuesta

Ambas fuentes coinciden en que el compromiso se originó en el propio marketplace de Cursor. No hay indicios de que la versión alterada llegara a Open VSX, al marketplace de VS Code de Microsoft ni al paquete npm @anthropic-ai/claude-code. Cursor declaró que la versión maliciosa no fue desarrollada por Anthropic, que ya ha publicado una versión limpia, la 2.1.314. Ninguno de los dos artículos recoge declaraciones directas de Anthropic.

Preguntas abiertas y recomendaciones

Sigue sin saberse cómo lograron los atacantes publicar bajo el nombre oficial de la extensión, quiénes son y si llegaron a usar el acceso SSH. A quienes instalaron la extensión en Cursor durante ese intervalo se les recomienda aislar el equipo, borrar la clave "svc-telemetry" y los mecanismos de persistencia, renovar credenciales y sesiones, y actualizar a la versión 2.1.314 o posterior. Como la actualización automática pudo instalar la versión dañina sin intervención, conviene comprobar qué versión se ejecutaba el 29 de octubre.