Una copia manipulada de la extensión de Claude Code recopiló datos e intentó abrir un acceso remoto en miles de equipos.
Una copia adulterada de la extensión Claude Code llegó a la tienda de Cursor y pudo comprometer a un máximo de 5.000 desarrolladores. La versión 2.1.313 se pudo descargar durante unas once horas el jueves. La empresa de seguridad Phorion encontró una puerta trasera persistente diseñada para Windows, macOS y Linux.
El programa recopilaba información del dispositivo y de su usuario, incluidos el nombre, el correo configurado en Git y la dirección IP pública. Asimismo, procuraba establecer un túnel SSH inverso que habría permitido al intruso acceder al equipo a distancia. Esta función falló en la inmensa mayoría de los casos: en Windows y macOS exigía privilegios de administrador de los que la extensión solía carecer.
Esa barrera no volvía inocua la infección. El código todavía podía extraer los datos recabados, introducir la clave SSH del atacante e instalar un mecanismo para conservar su presencia en el sistema. En consecuencia, actualizar la extensión no basta para deshacer las modificaciones. Cursor facilitó instrucciones y herramientas específicas para localizar y retirar los componentes maliciosos.
Anthropic rechazó que el incidente se debiera a una intrusión en su infraestructura o en los portátiles de su plantilla. Atribuyó la publicación a un actor que había obtenido acceso a la tienda de Cursor y recalcó que las versiones distribuidas por sus propios canales permanecían intactas.
Cursor eliminó el paquete, clausuró temporalmente la tienda y renovó sus claves. También revisó las demás extensiones y ayudó a bloquear el servidor del atacante. Pese a estas medidas, las empresas siguen sin detallar cómo consiguió la copia manipulada ocupar el canal oficial.
Basado en: Connor Jones, The Register