Se difundieron versiones maliciosas de la extensión Claude Code de Anthropic a usuarios de Cursor como parte de un nuevo ataque a la cadena de suministro de software. El incidente ocurrió el 29 de octubre, y las versiones afectadas solo estuvieron accesibles durante aproximadamente 11 horas. No procedían de Anthropic, que afirma que sus canales oficiales no están afectados.
- Versiones maliciosas de Claude Code se difundieron a usuarios de Cursor durante unas 11 horas.
- Anthropic afirma que no creó esas versiones y que sus canales oficiales no están afectados.
- El código intentaba abrir un túnel SSH inverso para acceder de forma remota a los equipos infectados.
- Cursor retiró la extensión y recomienda eliminarla, aunque desinstalarla podría no bastar.
Las versiones 2.1.312 y 2.1.313 de la extensión anthropic.claude-code estaban disponibles en el mercado de extensiones VS Code de Cursor. Dirigidas tanto a usuarios de macOS como de Windows, contenían código JavaScript diseñado para ejecutarse al cargar ciertos módulos y establecer un túnel SSH inverso, un acceso remoto a la máquina infectada. Según el investigador de seguridad Kevin Beaumont, unos 5.000 sistemas de desarrolladores podrían haber descargado estas versiones.
Una copia modificada publicada a través del mercado de Cursor
Anthropic indicó que las versiones modificadas no fueron desarrolladas por la empresa y que no se publicaron en Microsoft Visual Studio Marketplace, Open VSX ni en el registro NPM. « Un actor malicioso utilizó el acceso al mercado de Cursor para publicar una copia alterada de la extensión Claude Code, que nosotros no construimos ni publicamos. Las versiones de nuestros canales oficiales no están afectadas, y esto solo afecta a los usuarios de Cursor », declaró Felix Rieseberg, de Anthropic. Para evitar confusiones, Anthropic actualizó directamente su versión legítima de la extensión, pasando a la versión 2.1.314.
Por parte de Cursor, la extensión modificada fue retirada de la tienda en cuanto se identificó, y el mercado fue suspendido durante la investigación. Cursor indica no haber encontrado ninguna otra extensión maliciosa, haber renovado todas sus claves, reconstruido y reabierto el mercado. La empresa también colaboró con el proveedor de la nube que alojaba el servidor del atacante para ponerlo fuera de línea. « No tenemos pruebas de que otras versiones de la extensión o la distribución oficial estén afectadas », precisó Cursor.
Acciones de recopilación de información y persistencia
Según el análisis publicado por Microsoft, la función JavaScript ejecutada al cargar recopilaba información sobre la máquina, modificaba archivos y ejecutaba comandos del sistema. Según Microsoft, el código intentaba instalar una clave SSH, activar el servicio SSH, crear el túnel y configurar su persistencia, es decir, su capacidad para permanecer activo tras un reinicio. « El cargador comienza recopilando información sobre el host. Luego intenta instalar una clave SSH, activar SSH, crear un túnel inverso y configurar la persistencia. Una llamada retrasada intenta luego enviar los detalles del host », indica Microsoft. Los investigadores observaron la recopilación del nombre del host, nombre de usuario, sistema operativo, arquitectura, directorio de trabajo y dirección de correo electrónico global de Git, así como el despliegue de scripts específicos para cada plataforma. Según Cursor, la activación del servicio SSH requiere privilegios de administrador que la extensión no posee en la mayoría de sistemas macOS y Windows: esta etapa habría fallado, lo que habría impedido a los atacantes conectarse a través del túnel.
Cursor recomienda a los usuarios eliminar cuanto antes las versiones maliciosas y ha publicado un script de detección así como indicadores de compromiso. La empresa precisa que la desinstalación de la extensión podría no ser suficiente, ya que la carga maliciosa deposita scripts de persistencia autónomos que continúan funcionando.
