Durante aproximadamente onze horas, a 29 de outubro, uma versão falsa da extensão Claude Code, apresentada como sendo da Anthropic, circulou na marketplace do Cursor. Tentava instalar uma backdoor SSH nos computadores dos programadores: no máximo 5.000, de acordo com o Cursor.
O que aconteceu na marketplace do Cursor?
De acordo com o aviso de segurança publicado pelo Cursor, uma versão modificada da extensão, Anthropic.claude-code 2.1.313, foi disponibilizada entre as 2h27 e as 13h35, hora do Pacífico. Isto corresponde a um intervalo entre as 10h27 e as 21h35 em França. O editor afirma que esta versão não foi desenvolvida pela Anthropic e que afetou no máximo 5.000 utilizadores, que diz pretender contactar diretamente.
O Cursor removeu a versão maliciosa logo após a sua deteção, depois encerrou por precaução toda a sua marketplace, alterou as suas chaves e reconstruiu o serviço. A empresa diz também ter conseguido que o alojador desativasse o servidor do atacante: o túnel e o envio de informações já não funcionariam. Acrescenta não ter qualquer prova de que outras versões da extensão estejam afetadas. A sua mensagem no X foi partilhada por The Hacker News:
O que faz esta backdoor na máquina?
Segundo a análise da OpenSourceMalware, um carregador de 66 linhas foi colado antes do código legítimo do ficheiro principal da extensão. Executa-se logo que a extensão é carregada: não é necessário abrir uma conversa com o Claude. Recolhe o nome da máquina, o utilizador, o sistema, o endereço de e-mail global do Git e os nomes das variáveis de ambiente que contêm palavras como « KEY » ou « TOKEN ». Os valores não são enviados no primeiro envio, mas os nomes são suficientes para revelar os serviços utilizados.
O código adiciona depois uma chave SSH etiquetada « svc-telemetry » ao ficheiro authorized_keys, tenta ativar o serviço SSH e abre um túnel inverso para o endereço 134.209.82.225. Para persistir, instala-se com um nome enganador: no macOS, um LaunchAgent chamado « com.apple.sysmond », que não tem nada de um componente Apple; no Windows, uma tarefa agendada « SysMon ». Segundo o Cursor, os scripts reativam o túnel aproximadamente a cada 60 segundos e um relatório é enviado para a porta 8099 do servidor.
Um ataque parcialmente limitado pelos seus próprios erros
Não se trata de uma tomada de controlo automática. O Cursor explica que ativar o serviço SSH exige privilégios de administrador, que a extensão não tem na maioria dos Mac e PCs Windows. Nestas máquinas, o atacante não teria conseguido ligar-se através do túnel. A chave, a persistência e o envio das informações permanecem, no entanto, ativos, o que justifica uma limpeza na mesma.
Open VSX ou marketplace do Cursor: de onde veio a versão maliciosa?
As fontes não concordam. O Cursor, e depois o The Hacker News na sua versão corrigida, situam a difusão apenas na marketplace do Cursor, sem provas de que tenha chegado ao Open VSX ou ao Marketplace da Microsoft. Pelo contrário, Help Net Security e a empresa de segurança Phorion falam de um pacote publicado no Open VSX, o registo gerido pela fundação Eclipse.
A OpenSourceMalware, por sua vez, analisou um exemplar recuperado no Open VSX, ao mesmo tempo que esclarece que a proveniência da pasta estudada não está estabelecida. Segundo o The Hacker News, a Anthropic publicou desde então a versão 2.1.314 no Open VSX e no Marketplace da Microsoft. Não encontrámos qualquer declaração da Anthropic sobre o incidente.
Como saber se foi afetado?
A questão só diz respeito a quem instalou ou atualizou a Anthropic.claude-code 2.1.313 a partir da marketplace do Cursor durante o intervalo de tempo referido. O Cursor propõe uma verificação: a chave « svc-telemetry » está presente nas suas chaves SSH autorizadas? No macOS:
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"O Cursor fornece também um comando PowerShell para Windows, mas não para Linux. Se a chave aparecer, a máquina está afetada e o Cursor recomenda estes passos:
- isolar a máquina e procurar os indicadores de comprometimento listados no seu aviso
- executar o script de limpeza fornecido para macOS ou Windows, porque desinstalar a extensão não é suficiente: scripts autónomos continuam a funcionar
- alterar as credenciais e sessões acessíveis a partir da máquina, a partir de um sistema de confiança
Resta uma questão que ninguém esclareceu: quem publicou realmente esta versão, e com que acesso?
