O Cursor ampliou em 30 de outubro o alerta sobre a extensão Claude Code adulterada em seu marketplace. Os pacotes 2.1.312 e 2.1.313 para Windows e macOS, distribuídos no dia anterior, tentavam criar acesso remoto persistente ao computador do desenvolvedor.
O comunicado de segurança do Cursor informa que os pacotes maliciosos não foram desenvolvidos pela Anthropic.
Neste artigo
Quais instalações da extensão Claude Code estão no alerta
O alerta cobre instalações ou atualizações pelo marketplace do Cursor em 29 de outubro, entre aproximadamente 6h27 e 17h35, no horário de Brasília.
O identificador é Anthropic.claude-code. A triagem precisa conferir versão, origem, sistema operacional e horário de instalação. O mesmo nome em outra loja não comprova exposição ao incidente.
A revisão das 15h30 de Brasília de 30 de outubro amplia o escopo dos relatos iniciais, que citavam somente a versão 2.1.313.
O código era executado ao carregar a extensão
Na análise técnica da Phorion, assinada por Calum Hall, o trecho adulterado aparece no início de extension.js. Ele roda quando o editor carrega o arquivo, antes da função normal de ativação. Não depende de o usuário iniciar uma conversa com a IA.
O objetivo era instalar uma backdoor, um acesso não autorizado: adicionar uma chave SSH do atacante e conectar a máquina a um servidor externo por um túnel reverso. Essa conexão permitiria usar o SSH, ferramenta de administração remota, para entrar no computador.
A persistência após reiniciar usava um LaunchAgent no macOS. No Windows, o código tentava criar uma tarefa agendada e usava a pasta de inicialização como alternativa.
O programa coletava informações de reconhecimento, como usuário, diretórios, sistema operacional, IP público e nomes de variáveis de ambiente. Nomes de variáveis não são os valores de senhas ou tokens: essa coleta, isoladamente, não demonstra o envio de todos os segredos armazenados no computador.
Instalação maliciosa não significa acesso remoto bem-sucedido em todos os casos
O próprio malware apresentava falhas. No macOS, uma checagem podia receber um erro de permissão e deixar de habilitar o SSH. No Windows, havia incompatibilidades de execução. Alterar serviços também dependia das permissões disponíveis.
Essa diferença importa para a investigação: carregar o pacote, instalar persistência e conseguir entrar remotamente são etapas distintas. Um computador pode apresentar artefatos do ataque mesmo quando a conexão final falhou. A Sophos X-Ops também registra a limitação no acionamento do SSH em configurações comuns de Windows e macOS.
O que se sabe sobre outras lojas de extensões
Relatos iniciais associaram o pacote ao Open VSX e ao npm. A Socket examinou registros dessas plataformas e não encontrou evidência correspondente de publicação da versão 2.1.313 no período investigado.
No Open VSX, a empresa consultou 3.392 eventos desde 27 de outubro até 5h35 UTC de 30 de outubro. Encontrou registros das versões vizinhas, mas nenhum de publicação ou remoção da 2.1.313. A versão também não constava do histórico de publicação do pacote npm consultado.
A Socket não analisou a amostra maliciosa; sua contribuição é a verificação dos registros de distribuição. O resultado delimita o que está comprovado e não funciona como uma garantia geral sobre qualquer pacote. Para este alerta, o caminho de distribuição confirmado continua sendo o marketplace do Cursor.
Remover a extensão pode deixar componentes no computador
A orientação da Sophos é localizar os dispositivos expostos, remover a chave SSH indevida, os mecanismos de persistência e os processos de túnel, além de rotacionar credenciais acessíveis nas máquinas afetadas. A desinstalação do complemento, sozinha, pode deixar esses componentes em execução.
Para uma equipe de desenvolvimento, a resposta começa pelo inventário da extensão e pelo histórico de instalações. Nos equipamentos com sinais de execução do código, é necessário preservar os registros relevantes e acionar o processo de resposta a incidentes. A troca de credenciais, feita em um sistema confiável, deve considerar quais contas, repositórios e serviços estavam acessíveis a partir do equipamento afetado.
O Cursor disponibilizou indicadores e scripts de remediação no aviso oficial. A apuração deve combinar esses indicadores com registros de processos, rede e inicialização; a ausência de um único nome de arquivo ou comentário de chave não encerra a análise de exposição.
O marketplace foi reconstruído e reaberto após a rotação de chaves, segundo o Cursor. A empresa também informou que o servidor usado pelo atacante foi retirado do ar em coordenação com o provedor de hospedagem.
