Em 29 de outubro, a Cursor publicou um aviso de segurança: o marketplace de extensões do VS Code da empresa passou a conter uma versão adulterada, a Anthropic.claude-code 2.1.313. Essa versão não foi desenvolvida pela Anthropic e foi baixada por até cerca de 5.000 usuários. A Cursor retirou a versão do ar, chegou a fechar todo o marketplace de extensões, trocou suas próprias chaves, reconstruiu o serviço e o recolocou no ar, e afirma que vai contatar um a um os usuários afetados.
Pelos horários do aviso, a versão maliciosa ficou disponível para download a partir de cerca das 2h27 (horário do Pacífico) do mesmo dia e só foi retirada às 13h35, ou seja, aproximadamente 11 horas depois. A Cursor diz que, por ora, não há sinais de alteração na versão oficial nem nas outras extensões do marketplace.
O que ela faz depois de instalada
A extensão primeiro coleta uma série de informações do host: nome da máquina, nome de usuário, sistema operacional e arquitetura, caminho do diretório pessoal, nomes das variáveis de ambiente, diretório de trabalho atual, e-mail do Git e IP público. Em seguida, envia tudo por HTTP POST para a interface /beacon, na porta 8099 do servidor do atacante.
Depois, tenta deixar uma porta dos fundos permanente: grava a chave pública SSH do atacante em authorized_keys, ativa o serviço SSH local e abre um túnel SSH reverso de volta. No macOS, usa um LaunchAgent para persistência; no Windows, tenta registrar uma tarefa agendada como SYSTEM e, se falhar, recorre a um script de inicialização. Um script em segundo plano tenta refazer o túnel a cada 60 segundos, mais ou menos.
O código do atacante tem defeitos. A menos que o Cursor tenha sido iniciado com privilégios de administrador, a etapa de criar o túnel tende a falhar. O servidor do atacante também já foi derrubado pela hospedagem, de modo que nem o túnel nem o envio de informações conseguem se conectar agora. A Cursor alerta que um túnel que não se formou não significa que está tudo bem: a chave pública, os scripts de persistência e as informações do host já enviadas podem ter chegado ao destino.
"Uninstalling the extension may not be sufficient — the payload drops standalone persistence scripts that keep running." (Desinstalar a extensão pode não ser suficiente: a carga deixa scripts de persistência independentes que continuam em execução.)
O que os usuários devem verificar
O roteiro de verificação do aviso é bastante direto: conferir se a lista de chaves SSH autorizadas contém uma chave pública chamada svc-telemetry; pesquisar nos registros de terminal, de rede e de instalação de extensões os IPs, a porta e os hashes dos dois arquivos VSIX listados (um pacote para macOS arm64 e outro para Windows x64). Máquinas com vestígios de execução devem ser isoladas primeiro; use o script oficial para remover chaves, itens de persistência e processos de túnel e, se necessário, reinstale o sistema.
O último passo é o mais fácil de pular: todas as credenciais e sessões que essa máquina podia acessar precisam ser trocadas, e em um computador limpo. Segundo a Cursor, a extensão leu apenas os nomes das variáveis de ambiente, não os valores, mas, uma vez aberta a porta dos fundos, o atacante poderia voltar depois para pegá-los.
Ferramentas de programação viraram alvo da cadeia de suprimentos
Olhando o último ano, os incidentes de cadeia de suprimentos em torno de ferramentas de programação com IA não pararam. Já noticiamos o envenenamento do LiteLLM 1.107.0, voltado ao roubo de chaves de serviços de IA, e uma falha em um plugin do VS Code que levou ao roubo de 3.800 repositórios do GitHub. Desta vez, o atacante escolheu o nome Claude Code: tem uma base instalada grande e os usuários costumam liberar terminal e acesso a arquivos, então o retorno de se passar por ele é alto.
Editores derivados do VS Code, como Cursor e Windsurf, não podem usar diretamente o marketplace oficial da Microsoft; só podem se conectar ao Open VSX ou montar um canal próprio de distribuição, e os mecanismos de revisão e assinatura variam de uma empresa para outra. A Anthropic ainda não se manifestou publicamente sobre o caso, e a Cursor tampouco explicou como a versão falsa foi publicada com a identidade do publicador oficial. Enquanto essa etapa não for corrigida, outras extensões populares também podem ser imitadas da mesma forma.
Para desenvolvedores na China, há muitos usuários do Cursor, e também são numerosas as máquinas de redes internas de empresas com esse tipo de editor instalado. Se você atualizou a extensão do Claude Code por volta de 29 de outubro, seguir os passos acima custa muito pouco.
Fontes: aviso de segurança da Cursor (para conferir o número da versão afetada, o período de download e o teto de 5.000 usuários), CocoLoop, lista de indicadores de comprometimento anexada ao aviso da Cursor (para conferir a porta, o intervalo de novas tentativas e os dois hashes de VSIX).