Pesquisadores de segurança cibernética revelaram que uma versão adulterada da extensão oficial Claude Code, da Anthropic, foi distribuída pelo marketplace do Cursor como uma atualização legítima, com a tentativa de instalar um backdoor SSH (protocolo Secure Shell, usado para acesso remoto seguro) persistente nos sistemas afetados.
A atualização maliciosa, versão 2.1.313, foi distribuída sob a identidade legítima do publicador da extensão, o que levou o Cursor a suspender temporariamente seu marketplace para remover o pacote comprometido. Não se sabe exatamente como os invasores conseguiram introduzir a atualização não autorizada.
“Identificamos um incidente de segurança envolvendo uma extensão modificada do Claude Code para VS Code, acessada por meio do nosso marketplace de extensões do ambiente de desenvolvimento integrado (IDE) Cursor, que afetou no máximo 5.000 usuários”, afirmou o Cursor. “Essa versão maliciosa da extensão não foi desenvolvida pela Anthropic. Ela não afeta outras extensões baixadas em cursor[.]com/marketplace, no Grok Bot, no Grok ou em nosso outro produto, o SpaceXSI.”
No entanto, a afirmação do Cursor de que a versão maliciosa “não foi desenvolvida pela Anthropic” não atinge o cerne da questão. Os invasores distribuíram a versão 2.1.313 com o ID legítimo da extensão Claude Code da Anthropic (anthropic.claude-code), em vez de criar uma extensão falsa separada.
“O pacote se identifica como anthropic.claude-code versão 2.1.313, mas seu pacote principal de JavaScript contém um carregador malicioso de 66 linhas inserido antes do código legítimo da extensão”, disse Jenn Gile, cofundadora da OpenSourceMalware, em comunicado enviado ao The Hacker News.
A atualização maliciosa foi distribuída apenas pelo marketplace do Cursor, sem evidências de que tenha chegado ao Open VSX ou ao Marketplace oficial do VS Code, da Microsoft. Não há registro de que usuários que instalaram o Claude Code por meio de qualquer um desses marketplaces tenham sido afetados por este incidente.
Até 30 de outubro de 2026, a versão maliciosa havia sido removida, e a Anthropic publicou a versão 2.1.314 tanto no Open VSX quanto no Marketplace oficial do VS Code, da Microsoft.
A extensão foi projetada para ser ativada após a inicialização do VS Code e quando sua webview é aberta. Em seguida, ela adiciona uma chave controlada pelo invasor ao arquivo “~/.ssh/authorized_keys” do usuário. A chave recebe o nome “svc-telemetry”, em uma tentativa de parecer inofensiva.
Depois disso, a extensão tenta tornar a vítima acessível via SSH em Windows, Linux e macOS, estabelece um túnel reverso para “134.209.82[.]225”, instala mecanismos de persistência específicos para cada plataforma, na forma de uma tarefa agendada, de uma crontab e de um LaunchAgent, e transmite dados de reconhecimento do host para “134.209.82[.]225:8099/beacon”, na porta 8099, por meio de uma requisição HTTP (protocolo de transferência de hipertexto) não criptografada.
“Ativar o serviço SSH local exige direitos de administrador, que a extensão maliciosa não tem na maioria dos hosts macOS e Windows”, afirmou a empresa de propriedade da SpaceXAI em sua própria análise do incidente, segundo a qual o Cursor se pronunciou.
“Nesses hosts, essa etapa falha, e o invasor não conseguiria ter feito login pelo túnel. A extensão ainda assim adiciona a chave SSH do invasor, instala a persistência e envia os detalhes do host ao invasor. Siga as etapas de correção abaixo independentemente disso.”
Os dados coletados incluem:
- Endereço IP público, obtido de api.ipify[.]org
- Nome do host e nome de usuário local
- Sistema operacional e arquitetura da unidade central de processamento (CPU)
- Diretório pessoal e diretório de trabalho atual
- E-mail global do Git, obtido com o comando git config --global user.email
- Nomes de até 40 variáveis de ambiente que contenham KEY, TOKEN, SECRET, PASS, AWS ou GCP (Google Cloud Platform)
“Os valores das variáveis de ambiente não são incluídos diretamente no beacon inicial”, disse o pesquisador de segurança Paul McCarty. “Mesmo assim, os nomes podem revelar quais provedores de nuvem, sistemas de integração contínua (CI) e tipos de credenciais estão configurados. Mais importante ainda, um acesso SSH bem-sucedido permitiria ao operador inspecionar diretamente a conta.”
Nenhuma outra carga secundária foi observada. Ainda assim, o estabelecimento do túnel reverso abre um caminho até o serviço SSH da vítima, permitindo que o operador emita comandos ou transfira arquivos.
“Ela foi retirada muito rapidamente, mas qualquer pessoa que tivesse a instância do Claude Code configurada para atualização automática poderia ter recebido o malware”, disse Gile.
O Cursor informou que o incidente afetou no máximo 5.000 usuários que instalaram a versão maliciosa entre aproximadamente 2h27 e 13h35, no horário do Pacífico (PT), de 29 de outubro de 2026. A empresa também afirmou que entrará em contato diretamente com os usuários afetados.
Usuários que instalaram a extensão comprometida durante esse período devem isolar os hosts, remover a chave SSH não autorizada e os mecanismos de persistência, além de renovar credenciais e sessões.
A divulgação ocorre pouco mais de uma semana depois de um invasor desconhecido substituir os binários de lançamento de cinco versões já publicadas da interface de linha de comando (CLI) oficial da OVHcloud (“ovh/ovhcloud-cli”) por um malware de roubo de segredos. Ele fez o upload dessas versões por meio de uma conta do GitHub de um colaborador legítimo da OVH (“HassenBF”), sequestrada em março de 2026 como parte da operação GlassWorm.
(Uma versão anterior desta notícia afirmava que a extensão no registro Open VSX havia sido comprometida. Posteriormente, apurou-se que o incidente remonta a um comprometimento do marketplace do Cursor para VS Code.)
