Cursor revela un intento de instalar una puerta trasera SSH mediante una extensión maliciosa de Claude Code

El 29 de octubre de 2026, Cursor reveló un incidente de seguridad relacionado con una versión modificada con fines maliciosos de la extensión Anthropic.claude-code, disponible en el Marketplace de extensiones de VS Code. La empresa afirmó que Anthropic no desarrolló el paquete y que este ejecutaba código que intentaba instalar una puerta trasera SSH persistente. El incidente afectó a un máximo de 5.000 usuarios.

En un aviso de seguridad, la empresa afirmó que se pondría en contacto directamente con los usuarios afectados. El paquete malicioso, la versión 2.1.313 de la extensión Claude Code de Anthropic, estuvo disponible en el marketplace entre aproximadamente las 2:27 a. m. PT y la 1:35 p. m. PT del 29 de octubre de 2026.

Cómo funciona la versión maliciosa

Cursor afirmó que la extensión modificada recopila información del equipo y del usuario: nombre del equipo, nombre de usuario, sistema operativo, arquitectura, ruta del directorio de inicio, nombres de las variables de entorno, directorios de trabajo, dirección de correo electrónico configurada en Git y dirección IP pública del equipo.

La extensión intenta añadir una clave SSH controlada por el atacante al archivo del usuario authorized_keys archivo, habilitar el servicio SSH local y abrir un túnel SSH inverso. Cursor afirmó que este paso fallaría salvo en circunstancias sumamente inusuales en las que Cursor se iniciara con privilegios de administrador, debido a errores en el código malicioso. La empresa añadió que habilitar el servicio SSH local requiere derechos de administrador que la extensión no tiene en la mayoría de los equipos macOS y Windows, por lo que el atacante no habría podido iniciar sesión a través del túnel en esos equipos. Aun así, la extensión añade la clave SSH del atacante, instala mecanismos de persistencia y le envía detalles del equipo.

Cursor afirmó que, para mantener la persistencia, la carga útil instala un LaunchAgent en macOS o, en Windows, una tarea programada que intenta ejecutarse como SYSTEM, con un script de inicio como alternativa, mientras los scripts en segundo plano vuelven a intentar establecer el túnel aproximadamente cada 60 segundos. La extensión informa de los detalles del equipo y del estado de la puerta trasera mediante solicitudes HTTP POST a un /beacon endpoint en el puerto 8099.

La respuesta de Cursor

Cursor afirmó que retiró de inmediato la versión maliciosa del marketplace al detectarla y bloqueó su distribución posterior; luego, como medida de precaución, cerró todo el marketplace. La empresa dijo que auditó los accesos y confirmó que ninguna otra extensión había sido manipulada, rotó sus claves, reconstruyó el marketplace y volvió a ponerlo en línea.

Cursor también afirmó que colaboró con el proveedor de servicios en la nube que alojaba el servidor del atacante para desconectarlo, y que el servidor ya no funciona, por lo que el shell inverso y el envío de detalles del equipo mediante POST dejaron de funcionar. La empresa dijo que sus hallazgos se refieren al paquete identificado y que no tiene pruebas de que otras versiones de la extensión o la distribución oficial se hayan visto afectadas.

Medidas de corrección e indicadores

Cursor recomendó a quienes instalaron o actualizaron Anthropic.claude-code 2.1.313 desde su marketplace durante el periodo de exposición que ejecuten su herramienta de comprobación de impacto; busquen los indicadores publicados en la telemetría de los endpoints, la red y la instalación de extensiones; aíslen los equipos que muestren indicios de ejecución de la carga útil o instalación de la puerta trasera; y eliminen la clave SSH no autorizada, los mecanismos de persistencia y los procesos del túnel en ejecución mediante sus scripts de corrección, mientras evalúan si es necesario reconstruir el equipo. Los usuarios afectados deben cambiar las credenciales y renovar las sesiones accesibles desde los equipos afectados, utilizando un sistema de confianza.

La empresa advirtió que desinstalar la extensión podría no ser suficiente, ya que la carga útil instala scripts de persistencia independientes que siguen ejecutándose. También señaló que la recopilación limitada de variables de entorno no descarta que posteriormente se acceda a credenciales mediante la puerta trasera.

La herramienta de comprobación de impacto busca la clave pública del atacante, identificada como svc-telemetry, añadida al archivo SSH authorized_keys archivo: un comando grep en macOS y una comprobación de PowerShell en Windows que abarca tanto el archivo del usuario authorized_keys como el archivo administrators_authorized_keys archivo de C:\ProgramData\ssh. Un equipo se considera afectado si se encuentra la clave; en ese caso, Cursor dirige a los usuarios al script de corrección correspondiente a esa plataforma.

El script para macOS, remediate-macos.sh, debe ejecutarse como el usuario afectado, no como root; el script para Windows, remediate-windows.ps1, debe ejecutarse desde una sesión de PowerShell abierta con derechos de administrador. Ambos eliminan la extensión maliciosa, los mecanismos de persistencia, los procesos del túnel en ejecución y la clave SSH del atacante, y finalizan con un estado distinto de cero si queda algún elemento.

Los indicadores de compromiso publicados incluyen hashes SHA-256 de los paquetes VSIX modificados darwin-arm64 y win32-x64, así como un archivo extension.js modificado en la carpeta de la extensión 2.1.313 para macOS o Windows que contiene las cadenas 134.209.82.225 y svc-telemetry. Los indicadores de red incluyen el punto de conexión del atacante 134.209.82.225, un destino SSH inverso tunnel@134.209.82.225 en el puerto TCP 22, una señal externa en la misma dirección en el puerto 8099 y un intento de señal en la interfaz de bucle local en 127.0.0.1:8099. Cursor también enumeró la clave pública ssh-ed25519 no autorizada con la huella digital SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, una huella digital de clave de túnel inverso y rutas de archivos de persistencia para macOS y Windows —incluido un LaunchAgent etiquetado como com.apple.sysmond, una tarea programada llamada SysMon, y un script alternativo de la carpeta Inicio llamado sysmon.cmd —, además de indicadores de línea de comandos, entre ellos ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, y un Add-WindowsCapability comando que instala la funcionalidad del servidor OpenSSH.

Cursor señaló que las consultas de IP pública de la carga útil se dirigen a ifconfig.me y api.ipify.org, que son servicios legítimos, y que el mero acceso a ellos no constituye un indicador. La empresa dirigió las consultas a security@cursor.com.