Pesquisadores de cibersegurança divulgaram um incidente de segurança envolvendo a extensão oficial Anthropic Claude Code para VS Code, que foi comprometida na Marketplace do Cursor para implantar um backdoor SSH persistente. O problema foi rastreado especificamente ao comprometimento da Marketplace do Cursor e não ao registro Open VSX, levando a plataforma de codificação com IA Cursor a retirar temporariamente seu serviço para remover o malware.
A Cursor confirmou que o incidente afetou no máximo 5.000 usuários que instalaram a versão maliciosa entre aproximadamente 2:27 da manhã e 13:35 PT em 29 de outubro de 2026. A empresa afirmou que a extensão maliciosa não foi desenvolvida pela Anthropic e não afeta outras extensões disponíveis na marketplace, o Grok Bot ou outros produtos da SpaceXAI. Até 30 de outubro de 2026, a versão comprometida foi removida e a Anthropic lançou uma atualização limpa, versão 2.1.314, tanto para o Open VSX quanto para a Marketplace do Microsoft VS Code.
De acordo com Jenn Gile, co-fundadora da OpenSourceMalware, o pacote malicioso se identificava como anthropic.claude-code versão 2.1.313, mas continha um carregador de 66 linhas inserido antes do código legítimo. A extensão é projetada para ativar-se na inicialização do VS Code e quando sua webview abre, adicionando subsequentemente uma chave SSH controlada pelo atacante rotulada como "svc-telemetry" ao arquivo authorized_keys do usuário para parecer inofensiva.
O malware tenta estabelecer um túnel reverso para o endereço IP 134.209.82[.]225 em sistemas Windows, Linux e macOS. Ele também instala mecanismos de persistência específicos da plataforma, incluindo tarefas agendadas, crontabs e LaunchAgents, enquanto transmite dados de reconhecimento do host para um endpoint HTTP não criptografado na porta 8099. A Cursor observou que habilitar o serviço SSH local requer direitos de administrador, os quais a extensão não possui na maioria dos hosts macOS e Windows; consequentemente, a etapa de tunelamento frequentemente falha, embora a instalação da chave e a exfiltração de dados ainda ocorram.
Os dados exfiltrados incluem o endereço IP público, nome do host, nome de usuário local, detalhes do sistema operacional, arquitetura da CPU, diretório home, diretório de trabalho atual e e-mail global do Git. Além disso, o malware varre até 40 nomes de variáveis de ambiente contendo palavras-chave como KEY, TOKEN, SECRET, PASS, AWS ou GCP. O pesquisador de segurança Paul McCarty destacou que, embora os valores dessas variáveis não sejam enviados diretamente no beacon inicial, seus nomes podem revelar provedores de nuvem configurados e tipos de credenciais, e o acesso SSH bem-sucedido permitiria aos atacantes inspecionar as contas diretamente.
Nenhum payload subsequente foi observado além do estabelecimento do túnel reverso, que fornece um caminho para execução de comandos ou transferência de arquivos. A Cursor indicou que entrará em contato diretamente com os usuários afetados. Os indivíduos afetados são aconselhados a isolar seus hosts, remover a chave SSH não autorizada e os mecanismos de persistência, e rotacionar todas as credenciais e sessões.
Fontes: The Hacker News.