Una copia manipulada de la extensión de Claude Code recopiló datos e intentó abrir un acceso remoto en miles de equipos.
Una copia maliciosa de la extensión Claude Code se publicó en la tienda de Cursor, una herramienta de programación. La falsa actualización, identificada como la versión 2.1.313, estuvo disponible unas once horas durante el jueves. Antes de ser retirada, pudo infectar a un máximo de 5.000 desarrolladores.
El programa estaba preparado para Windows, macOS y Linux. Recogía información del ordenador y del usuario, como nombres, correos configurados en Git y direcciones IP públicas. Además, intentaba crear un túnel SSH inverso para que el atacante pudiera entrar en el equipo a distancia.
Este acceso falló en la gran mayoría de los casos. En Windows y macOS necesitaba permisos de administrador, que la extensión normalmente no tenía. Aun así, podía enviar los datos recogidos, guardar una clave SSH del atacante e instalar un sistema para mantenerse en el ordenador. Actualizar la extensión no borra por sí solo esos cambios. Los posibles afectados deben revisar y limpiar sus equipos con las instrucciones de Cursor.
Anthropic negó que el incidente comenzara con un ataque contra sus sistemas o los portátiles de sus empleados. La empresa afirmó que alguien utilizó el acceso a la tienda de Cursor para publicar la copia falsa. Las versiones ofrecidas en sus canales oficiales siguen siendo seguras.
Cursor retiró el archivo, cerró temporalmente la tienda y cambió sus claves. También bloqueó la conexión con el servidor del atacante y revisó las demás extensiones. Sin embargo, aún no se ha explicado cómo apareció la copia maliciosa en el espacio oficial.
Basado en: Connor Jones, The Register