El editor Cursor distribuyó 11 horas una extensión adulterada de Claude Code

La tienda de extensiones de Cursor, el editor de código con inteligencia artificial, distribuyó durante unas 11 horas una versión adulterada de la extensión de Claude Code, el asistente de programación de Anthropic. El código agregado intentaba instalar una puerta traseraMecanismo oculto que permite entrar a un sistema o controlarlo a distancia sin pasar por los controles de acceso normales. para entrar a la computadora del desarrollador por SSHProtocolo para conectarse a otra computadora y darle órdenes a distancia por un canal cifrado. Se autentica con contraseña o con llaves, y quien agrega su llave a un equipo puede entrar sin clave., el protocolo de acceso remoto seguro, según el aviso de seguridad de Cursor.

La ventana fue el 29 de octubre, de 09:27 a 20:35 UTC, de 06:27 a 17:35 en Buenos Aires, São Paulo y Santiago, de 04:27 a 15:35 en Bogotá y Lima y de 03:27 a 14:35 en Ciudad de México. Afectó a quien instaló o actualizó la extensión en ese lapso en Windows o macOS. "Esta versión maliciosa de la extensión no fue desarrollada por Anthropic", aclaró Cursor.

Una llave que queda aunque se borre la extensión

La firma de seguridad OX Security, que analizó el paquete, describe tres pasos. Primero, la extensión juntaba el nombre del equipo y del usuario, el sistema operativo, el correo configurado en Git, los nombres de las variables de entornoValores que el sistema operativo pone a disposición de los programas, como rutas o configuraciones. Los desarrolladores suelen guardar ahí contraseñas y claves de acceso a servicios. y la dirección IP pública, y los mandaba a un servidor del atacante. Después agregaba una llave SSH del atacante, con la etiqueta svc-telemetry, a la lista de llaves autorizadas del usuario, e intentaba encender el servicio SSH y abrir un túnel inversoConexión que un equipo infectado abre hacia un servidor del atacante para que este pueda entrar desde afuera, esquivando los cortafuegos que bloquean las conexiones entrantes. hacia ese servidor. Por último, dejaba scripts que reintentaban el túnel cada minuto.

El ataque tenía errores. Encender el servicio SSH exige permisos de administrador, que la extensión no tiene en la mayoría de los equipos, así que ese paso fallaba salvo que Cursor se hubiera abierto como administrador. Cursor y el proveedor de nube que alojaba el servidor del atacante lo dieron de baja, y el túnel ya no funciona. Igual, la llave, los scripts y el envío de datos sí quedaron en los equipos afectados.

Cursor retiró la versión, apagó su tienda de extensiones por precaución, revisó los accesos, rotó sus claves y la reconstruyó antes de volver a abrirla. Dijo que no encontró otras extensiones adulteradas. Cursor estimó que como máximo 5.000 usuarios pudieron verse afectados, según OX Security y BleepingComputer, una cifra que no aparece en la versión actualizada del aviso.

Las versiones y el origen no coinciden

Las fuentes no cuentan lo mismo. OX Security y BleepingComputer hablan de la versión 2.1.313, mientras que el aviso de Cursor, actualizado el 30 de octubre a las 18:30 UTC, incluye también la 2.1.312. Sobre el origen hubo otra diferencia. Los investigadores de Phorion encontraron el paquete en Open VSX, la tienda abierta de extensiones de la Fundación Eclipse, según Help Net Security, pero Ax Sharma, de Manifold Security, lo discutió, y BleepingComputer informó que las versiones de Open VSX y de la tienda de Microsoft no estaban comprometidas y que Cursor fue la única vía de distribución.

Lo que nadie explicó es cómo el atacante publicó una versión con el nombre de Anthropic en la tienda de Cursor. BleepingComputer consultó a Anthropic y a Cursor, y la nota no incluye respuesta de Anthropic.

Qué revisar en la computadora

Quien instaló o actualizó la extensión ese día tiene que buscar la llave svc-telemetry, porque desinstalar la extensión no alcanza. "Desinstalar la extensión puede no ser suficiente", advierte Cursor, porque los scripts de persistencia siguen corriendo por su cuenta. En macOS, la búsqueda se hace en ~/.ssh/authorized_keys, y en Windows, también en C:\ProgramData\ssh\administrators_authorized_keys. Cursor publicó un comando para cada sistema y los scripts remediate-macos.sh y remediate-windows.ps1, que borran la extensión, los scripts, los túneles y la llave.

Si la llave aparece, Cursor recomienda aislar el equipo, evaluar si conviene reinstalarlo de cero y cambiar, desde otra computadora de confianza, las contraseñas y las sesiones a las que se podía llegar desde la máquina afectada. Las variables de entorno solo se enviaron por nombre, pero la puerta trasera dejaba abierta la posibilidad de robar credenciales después.

Detalle técnico

El código malicioso estaba en el archivo extension.js de la extensión Anthropic.claude-code, en las compilaciones para macOS con procesador Apple y para Windows de 64 bits. En macOS, la persistencia usa el agente ~/Library/LaunchAgents/com.apple.sysmond.plist, y en Windows, la tarea programada SysMon con el script de inicio sysmon.cmd como respaldo. El servidor del atacante era 134[.]209[.]82[.]225, con el túnel por el puerto 22 y el envío de datos por el puerto 8099. La huella de la llave es SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk. Los valores de hashHuella digital de un archivo o de un dato, un código de largo fijo calculado a partir de su contenido. Si el archivo cambia, aunque sea un byte, el hash cambia, por eso sirve para identificarlo. de cada paquete están en el aviso de Cursor y en el análisis de OX Security.