Extensão falsa do Claude Code no Cursor pode ter afetado até 5 mil usuários

Um pacote malicioso que se passava pela extensão Claude Code, da Anthropic, foi oferecido na loja de extensões do Cursor, editor de código com inteligência artificial, na quinta-feira, 29 de outubro. O código tentava instalar um backdoor, uma porta dos fundos que dá ao invasor acesso remoto ao computador. Segundo o Cursor, até 5 mil usuários podem ter sido afetados.

De acordo com o Tecnoblog, a versão 2.1.313 ficou no ar das 6h27 às 17h35, no horário de Brasília. O Notebookcheck informa o mesmo intervalo em UTC, das 9h27 às 20h35, e fala em cerca de 11 horas, como a Wired; o Ars Technica cita quase 12. Quem tinha atualização automática ligada pode ter recebido o pacote sem fazer nada. O Cursor, que pertence à SpaceX, retirou a extensão, suspendeu temporariamente a loja e a reconstruiu antes de reativá-la. Segundo a empresa, não há evidência de adulteração em outros pacotes.

Há divergência sobre o alcance. O Notebookcheck afirma que o alerta do Cursor lista as versões 2.1.312 e 2.1.313 para Windows e macOS; as demais fontes citam só a 2.1.313, e a Wired menciona também o Linux. A versão limpa, 2.1.314, foi publicada horas depois.

O que a extensão fazia

Segundo o Notebookcheck, a extensão falsa tinha a aparência e o funcionamento da original. Assim que o editor abria, ela enviava a um servidor controlado pelos invasores dados como nome do usuário e do computador, sistema operacional, endereço IP e e-mail configurado no Git, além dos nomes de variáveis de ambiente que pareciam senhas ou tokens. Depois, adicionava uma chave SSH (protocolo de acesso remoto) chamada svc-telemetry e criava itens de inicialização no Windows e no macOS para tentar reconectar a cada 60 segundos, aproximadamente.

Na maioria das máquinas, o ataque falhou: o código tinha erros e precisava de permissão de administrador para abrir o túnel remoto. O risco maior ficou com quem rodava o Cursor com privilégios de administrador ou root. Ainda assim, os dados foram enviados e a chave continua no computador até ser removida. O Cursor diz ter derrubado o servidor dos invasores com o provedor de hospedagem. A Phorion, empresa de detecção, foi a primeira a identificar o pacote, no Mac de um cliente. Seu cofundador e CEO disse à Wired:

Todo mundo teve muita sorte aqui, isso era potencialmente uma base de apoio realmente perigosa para um invasor.

Calum Hall, cofundador e CEO da Phorion

Ainda não se sabe como o invasor publicou o pacote. Pesquisadores ouvidos pelo Ars Technica disseram que ele foi distribuído pela conta oficial da Anthropic no Cursor; segundo eles, o invasor obteve acesso a esse canal oficial de distribuição. A Anthropic nega falha própria: Felix Rieseberg, da equipe técnica, escreveu no X que um ator malicioso usou acesso à loja do Cursor para publicar uma cópia adulterada, que a empresa não criou nem publicou. O Cursor também afirmou que a versão não foi desenvolvida pela Anthropic, mas não explicou à Wired se houve invasão em seus sistemas. Segundo o Notebookcheck, as versões na loja da Microsoft, no Open VSX e no npm não foram afetadas.

O que fazer

Segundo o Cursor e o Notebookcheck, quem instalou ou atualizou a extensão no período deve:

• Saber que atualizar para a 2.1.314 não remove a chave nem os itens de inicialização.

• Procurar o termo svc-telemetry no arquivo authorized_keys da pasta .ssh do usuário (no Windows, também em C:\ProgramData\ssh\administrators_authorized_keys).

• Se encontrar, rodar os scripts de limpeza oferecidos pelo Cursor para Windows e macOS.

• Trocar senhas, tokens e chaves de API acessíveis pela máquina, usando outro aparelho confiável; reinstalar o sistema é a opção mais segura.

O Cursor informou que vai contatar diretamente os usuários potencialmente afetados.