Cursor revela tentativa de instalar uma porta dos fundos SSH em extensão maliciosa do Claude Code

Em 29 de outubro de 2026, o Cursor revelou um incidente de segurança envolvendo uma versão modificada maliciosamente da extensão Anthropic.claude-code, disponível no marketplace de extensões do VS Code. A empresa afirmou que o pacote não foi desenvolvido pela Anthropic e que ele executava código que tentava instalar uma porta dos fundos SSH persistente. Até 5.000 usuários foram afetados.

Em um comunicado de segurança, a empresa afirmou que entrará em contato diretamente com os usuários afetados. A versão 2.1.313 da extensão Claude Code da Anthropic esteve disponível no marketplace entre aproximadamente 2h27 (PT) e 13h35 (PT) de 29 de outubro de 2026.

Como se comporta a versão maliciosa

O Cursor afirmou que a extensão modificada coleta informações sobre o host e o usuário: nome do host, nome de usuário, sistema operacional, arquitetura, caminho do diretório pessoal, nomes das variáveis de ambiente, diretórios de trabalho, endereço de e-mail configurado no Git e endereço IP público da máquina.

A extensão tenta adicionar uma chave SSH controlada pelo invasor ao authorized_keys arquivo do usuário, ativar o serviço SSH local e abrir um túnel SSH reverso. O Cursor afirmou que essa etapa falharia, exceto em circunstâncias extremamente incomuns, nas quais o Cursor fosse iniciado com privilégios de administrador, devido a erros no código malicioso. A empresa acrescentou que ativar o serviço SSH local exige direitos de administrador que a extensão não possui na maioria dos hosts macOS e Windows; portanto, nessas máquinas, o invasor não poderia ter feito login pelo túnel. Ainda assim, a extensão adiciona a chave SSH do invasor, instala mecanismos de persistência e envia informações sobre o host ao invasor.

Para garantir a persistência, o Cursor afirmou que a carga maliciosa instala um LaunchAgent no macOS ou, no Windows, uma tarefa agendada que tenta ser executada como SYSTEM, com um script de inicialização como alternativa, enquanto scripts em segundo plano tentam restabelecer o túnel aproximadamente a cada 60 segundos. A extensão envia informações sobre o host e o status da porta dos fundos por solicitações HTTP POST a um /beacon endpoint na porta 8099.

A resposta do Cursor

O Cursor afirmou que removeu imediatamente a versão maliciosa do marketplace assim que a detectou e bloqueou sua distribuição, antes de desativar todo o marketplace por precaução. A empresa disse que auditou os acessos e confirmou que nenhuma outra extensão foi adulterada, trocou suas chaves, reconstruiu o marketplace e o colocou novamente no ar.

O Cursor também afirmou que trabalhou com o provedor de nuvem que hospedava o servidor do invasor para tirá-lo do ar e que o servidor já não funciona, deixando inoperantes o shell reverso e o envio de informações sobre o host por POST. A empresa disse que suas conclusões dizem respeito ao pacote identificado e que não há evidências de que outras versões da extensão ou a distribuição oficial tenham sido afetadas.

Medidas de correção e indicadores

O Cursor recomendou que todos que instalaram ou atualizaram a extensão Anthropic.claude-code para a versão 2.1.313 pelo marketplace durante o período de exposição executem sua verificação de impacto; pesquisem os indicadores divulgados na telemetria de endpoints, de rede e de instalação de extensões; isolem os hosts que apresentem sinais de execução da carga maliciosa ou de instalação da porta dos fundos; e removam a chave SSH não autorizada, os mecanismos de persistência e os processos do túnel em execução usando os scripts de correção da empresa, avaliando se o host deve ser reconstruído. Os usuários afetados devem trocar as credenciais e encerrar as sessões acessíveis a partir dos hosts afetados, usando um sistema confiável.

A empresa alertou que desinstalar a extensão talvez não seja suficiente, pois a carga maliciosa instala scripts de persistência independentes que continuam em execução. Também afirmou que a coleta limitada de variáveis de ambiente não descarta a possibilidade de acesso posterior a credenciais pela porta dos fundos.

A verificação de impacto procura a chave pública do invasor, identificada como svc-telemetry, adicionada ao authorized_keys arquivo SSH: um comando grep no macOS e uma verificação do PowerShell no Windows que abrange tanto o arquivo do usuário authorized_keys quanto o arquivo administrators_authorized_keys localizado em C:\ProgramData\ssh. Uma máquina foi afetada se a chave for encontrada; nesse caso, o Cursor direciona os usuários ao script de correção da plataforma correspondente.

O script para macOS, remediate-macos.sh, deve ser executado como o usuário afetado, e não como root, e o script do Windows, remediate-windows.ps1, deve ser executado em uma sessão do PowerShell aberta com direitos de administrador. Ambos removem a extensão maliciosa, os mecanismos de persistência, os processos do túnel em execução e a chave SSH do invasor; também retornam um código de saída diferente de zero se algo permanecer.

Os indicadores de comprometimento divulgados incluem hashes SHA-256 dos pacotes VSIX modificados para darwin-arm64 e win32-x64 e um extension.js arquivo modificado na pasta da extensão 2.1.313 para macOS ou Windows que contém as sequências 134.209.82.225 e svc-telemetry. Os indicadores de rede incluem o endpoint do invasor 134.209.82.225, um destino de SSH reverso, tunnel@134.209.82.225, na porta TCP 22, um sinal de beacon externo no mesmo endereço, na porta 8099, e uma tentativa de sinal de beacon de loopback em 127.0.0.1:8099. A Cursor também listou a chave pública ssh-ed25519 não autorizada, com a impressão digital SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, uma impressão digital de chave de túnel reverso, caminhos de arquivos de persistência para macOS e Windows — incluindo um LaunchAgent rotulado com.apple.sysmond, uma tarefa agendada chamada SysMon, e um script alternativo da pasta de Inicialização chamado sysmon.cmd — e indicadores de linha de comando, incluindo ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, e um Add-WindowsCapability comando que instala o recurso de servidor OpenSSH.

A Cursor observou que as consultas de IP público da carga útil são direcionadas a ifconfig.me e api.ipify.org, que são serviços legítimos, e que o simples acesso a eles não é um indicador. A empresa encaminhou as dúvidas para security@cursor.com.