Durante aproximadamente once horas, el 29 de octubre, una versión falsa de la extensión Claude Code, presentada como la de Anthropic, circuló en el marketplace de Cursor. Intentaba instalar una puerta trasera SSH en los ordenadores de los desarrolladores: 5.000 como máximo, según Cursor.
¿Qué pasó en el marketplace de Cursor?
Según el aviso de seguridad publicado por Cursor, una versión modificada de la extensión, Anthropic.claude-code 2.1.313, estuvo disponible entre las 2:27 y las 13:35, hora del Pacífico. Esto corresponde a un rango de 10:27 a 21:35 en Francia. El editor afirma que esta versión no fue desarrollada por Anthropic y que afectó como máximo a 5.000 usuarios, a quienes dice querer contactar directamente.
Cursor retiró la versión tras su detección, luego cerró por precaución todo su marketplace, cambió sus claves y reconstruyó el servicio. La compañía también dice haber conseguido del proveedor de alojamiento la desconexión del servidor del atacante: el túnel y el envío de información ya no funcionarían. Añade no tener ninguna prueba de que otras versiones de la extensión estén afectadas. Su mensaje en X fue difundido por The Hacker News:
¿Qué hace esta puerta trasera en la máquina?
Según el análisis de OpenSourceMalware, se pegó un cargador de 66 líneas antes del código legítimo del archivo principal de la extensión. Se ejecuta tan pronto como se carga la extensión: no hace falta abrir una conversación con Claude. Recoge el nombre de la máquina, el usuario, el sistema, el correo electrónico global de Git y los nombres de variables de entorno que contienen palabras como « KEY » o « TOKEN ». Los valores no figuran en el primer envío, pero los nombres bastan para revelar los servicios utilizados.
El código añade luego una clave SSH etiquetada « svc-telemetry » al archivo authorized_keys, intenta activar el servicio SSH y abre un túnel inverso hacia la dirección 134.209.82.225. Para persistir, se instala con un nombre engañoso: en macOS, un LaunchAgent llamado « com.apple.sysmond », que no tiene nada de un componente de Apple; en Windows, una tarea programada « SysMon ». Según Cursor, unos scripts reinician el túnel aproximadamente cada 60 segundos y un informe se envía al puerto 8099 del servidor.
Un ataque parcialmente limitado por sus propios errores
No es una toma de control automática. Cursor explica que activar el servicio SSH requiere privilegios de administrador, que la extensión no tiene en la mayoría de los Mac y PC Windows. En estas máquinas, el atacante no habría podido conectarse por el túnel. La clave, la persistencia y el envío de la información siguen sin embargo en su sitio, lo que justifica limpiar de todos modos.
¿Open VSX o marketplace de Cursor: de dónde venía la versión trampa?
Las fuentes no se ponen de acuerdo. Cursor, y luego The Hacker News en su versión corregida, sitúan la difusión únicamente en el marketplace de Cursor, sin pruebas de que haya llegado a Open VSX o al Marketplace de Microsoft. Por el contrario, Help Net Security y la compañía de seguridad Phorion hablan de un paquete publicado en Open VSX, el registro gestionado por la fundación Eclipse.
OpenSourceMalware, por su parte, analizó un ejemplar recuperado en Open VSX, a la vez que precisaba que la procedencia de la carpeta estudiada no está establecida. Según The Hacker News, Anthropic ha publicado desde entonces la versión 2.1.314 en Open VSX y en el Marketplace de Microsoft. No hemos encontrado ninguna declaración de Anthropic sobre el incidente.
¿Cómo saber si está afectado?
La pregunta solo concierne a quienes instalaron o actualizaron Anthropic.claude-code 2.1.313 desde el marketplace de Cursor durante el rango horario citado. Cursor propone una verificación: ¿está presente la clave « svc-telemetry » en sus claves SSH autorizadas? En macOS:
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"Cursor también proporciona un comando PowerShell para Windows, pero no para Linux. Si aparece la clave, la máquina está afectada y Cursor recomienda estos pasos:
- aislar la máquina y buscar los indicadores de compromiso listados en su aviso
- ejecutar el script de limpieza proporcionado para macOS o Windows, ya que desinstalar la extensión no basta: unos scripts autónomos siguen funcionando
- cambiar las credenciales y sesiones accesibles desde la máquina, desde un sistema de confianza
Queda una pregunta que nadie ha zanjado: ¿quién publicó realmente esta versión y con qué acceso?
