Una puerta trasera en la extensión de Claude para Cursor puso en riesgo durante casi 12 horas a hasta 5000 desarrolladores

La extensión oficial de Anthropic para VS Code, distribuida a través del marketplace del editor Cursor, contuvo una puerta trasera durante casi 12 horas. Según el propio Cursor, la versión maliciosa 2.1.313 afectó como máximo a 5000 usuarios. Se publicó desde la cuenta oficial verificada de Anthropic, y ni Cursor ni Anthropic han explicado hasta ahora cómo accedieron a ella los atacantes. Además, Anthropic no ha emitido ningún aviso público para sus clientes.

Cómo llegó la versión 2.1.313 a los equipos de los desarrolladores

Según el investigador independiente Kevin Beaumont, Anthropic publicó la versión limpia 2.1.314 unas horas después de que apareciera la maliciosa. Luke Roberts, director técnico y cofundador de la firma de seguridad Phorian, calificó el incidente de compromiso de la cadena de suministro: el atacante obtuvo acceso al canal oficial de distribución y la 2.1.313 sustituyó a la 2.1.312. En Cursor, las extensiones se actualizan automáticamente por defecto, aunque se puede desactivar en los ajustes. Por eso, en muchos casos el código pudo llegar sin que el usuario hiciera clic en nada.

Conviene considerar infectados a todos los que instalaron o actualizaron la extensión de Anthropic en Cursor el jueves entre las 5:27 y las 16:35, hora del este de EE. UU. También deben extremar la precaución quienes lo hicieron poco antes de esa ventana. Las extensiones de Cursor se ejecutan con los privilegios del propio IDE, de modo que, una vez instalado, el código malicioso pudo acceder a archivos locales, código fuente y herramientas del desarrollador.

Qué hacía la puerta trasera y dónde fallaba

Según la descripción de Cursor, el código funciona en Windows, macOS y Linux y realiza varias acciones:

• recopila el nombre del host y del usuario, el sistema operativo, la arquitectura, el directorio personal, los nombres de las variables de entorno, los directorios de trabajo, el correo configurado en Git y la IP pública;
• intenta añadir la clave SSH del atacante a authorized_keys, activar el servicio SSH local y abrir un túnel SSH inverso;
• fija el túnel en el sistema mediante un LaunchAgent en macOS o una tarea programada con privilegios de SYSTEM y un script de inicio de respaldo en Windows; los scripts en segundo plano repiten el intento aproximadamente cada 60 segundos;
• envía los datos del host y el estado de la puerta trasera mediante una petición HTTP POST a /beacon, puerto 8099.

Según Phorian, la recopilación de los nombres de las variables de entorno sirve para inventariar con rapidez las claves de la nube y los tokens de API presentes en el equipo. Es probable que el operador la usara para decidir qué dispositivos atacar después. La descripción no menciona los valores de las variables.

El código, además, tenía errores. Según Cursor, el paso de la clave SSH y el túnel fallaba en todos los casos salvo en los poco frecuentes en que el editor se ejecutaba con permisos de administrador. Los bugs en las versiones para Windows y macOS impidieron en algunos casos que la puerta trasera funcionara por completo. Aun así, Phorian considera que el malware es una amenaza seria: se mantiene en el sistema y envía al operador información de reconocimiento del host.

La respuesta de Cursor y qué deben hacer los usuarios

Cursor se puso en contacto con el proveedor de nube en cuyo servidor se alojaba el receptor de la reverse shell, y los dispositivos infectados ya no podrán conectarse a él. La versión maliciosa se retiró del marketplace y se bloqueó su distribución. El marketplace de VSCode estuvo cerrado un tiempo: la compañía cambió claves, revisó el control de acceso y comprobó que no hubiera otras extensiones comprometidas. Ahora vuelve a estar abierto.

Quedan sin respuesta dos preguntas: cómo se vulneró exactamente la cuenta de Anthropic y por qué la compañía no avisa a sus clientes. Ni Anthropic ni Cursor respondieron a las consultas de Ars Technica.

Conclusión práctica para quienes estén dentro de la ventana: comparen su equipo con los indicadores de compromiso (direcciones IP y hashes criptográficos) que figuran en las publicaciones de Cursor y Phorian. Revisen authorized_keys, LaunchAgent y las tareas programadas en busca de rastros de una clave SSH ajena y de un túnel. Ante la duda, regeneren las claves de la nube y los tokens de API que estuvieran en el equipo.

A juzgar por la descripción de los mecanismos de persistencia, la simple actualización a la 2.1.314 no elimina por sí sola las entradas maliciosas del sistema.

Es una conclusión basada en la descripción de esos mecanismos, no un hecho confirmado por los proveedores. Además, conviene desactivar la actualización automática de extensiones en los entornos de trabajo donde se guarden secretos valiosos.