Hallan en Cursor Marketplace un Claude Code falso con un backdoor SSH: hasta 5000 personas, en riesgo

Cursor ha publicado un aviso de seguridad: en su marketplace de extensiones para VS Code estuvo disponible una versión maliciosa de Anthropic.claude-code 2.1.313. La compañía subraya que no se trata de una compilación de Anthropic: alguien suplantó el paquete e intentó instalar a través de él un backdoor SSH persistente en los equipos de los desarrolladores. Según la estimación de Cursor, los afectados son como máximo 5000 usuarios, con los que la empresa promete ponerse en contacto directamente.

El paquete malicioso estuvo en el marketplace aproximadamente de 2:27 a 13:35, hora del Pacífico. Cursor lo retiró nada más detectarlo y bloqueó su distribución. Después, por precaución, detuvo por completo el marketplace, revisó los accesos y comprobó que las demás extensiones no habían sido alteradas. A continuación cambió las claves, reconstruyó el marketplace y lo volvió a poner en marcha. Por separado, junto con su proveedor de nube, Cursor desconectó el servidor del atacante, de modo que el túnel inverso y el envío de datos del host ya no funcionan.

Una pequeña observación sobre las fechas: la publicación está fechada el 13 de agosto de 2026, mientras que en las instrucciones para los usuarios la ventana de instalación se vincula al 29 de octubre de 2026. Del texto no se desprende cuál de las dos fechas es la correcta, así que conviene guiarse por el intervalo horario y por la comprobación de la clave que se describe más abajo.

Qué hacía el código malicioso

La extensión recopilaba datos del host: nombre del equipo y del usuario, sistema operativo, arquitectura, directorio personal, nombres de variables de entorno, directorios de trabajo, el email de la configuración de Git y la IP pública. Después intentaba añadir a authorized_keys la clave SSH del atacante, con el comentario svc-telemetry, activar el servicio SSH local y abrir un túnel SSH inverso.

Para mantener la persistencia, el código usaba un LaunchAgent en macOS (com.apple.sysmond) y una tarea programada SysMon en Windows, con la carpeta de inicio como alternativa. Los scripts en segundo plano reintentaban conectar el túnel aproximadamente cada 60 segundos. El código informaba del estado del backdoor y de los parámetros del host mediante una petición HTTP POST a /beacon, en el puerto 8099.

Según Cursor, por errores en el propio código el paso del túnel no habría funcionado en casi ningún equipo. Activar el servicio SSH requiere permisos de administrador, y la extensión no los tiene en la mayoría de los hosts con macOS y Windows. La excepción son los casos poco frecuentes en que Cursor se ejecutó con privilegios elevados. Pero el resto de los pasos se completaban sin ellos: la clave se añadía, el inicio automático se instalaba y los datos del host salían. Por eso Cursor pide que sigan las recomendaciones todos los que instalaron este paquete.

Cómo comprobar el equipo y qué hacer

La comprobación es sencilla: hay que buscar la cadena svc-telemetry en ~/.ssh/authorized_keys. En Windows hay dos archivos: la misma ruta en el perfil del usuario y C:\ProgramData\ssh\administrators_authorized_keys. Si se encuentra la clave, el equipo está afectado.

A continuación, Cursor aconseja aislar el host en el que se vean rastros de ejecución del payload y pasar un script de limpieza. En macOS es remediate-macos.sh, que se ejecuta como usuario normal, no como root. En Windows es remediate-windows.ps1, en PowerShell con permisos de administrador. Los scripts eliminan la extensión, los mecanismos de inicio automático, los procesos del túnel y la clave del atacante, y terminan con un código distinto de cero si queda algo. Después conviene valorar si no es más sencillo reinstalar el equipo desde cero.

Eliminar la extensión no basta: el payload deja scripts de inicio automático independientes que siguen funcionando. Las credenciales y sesiones accesibles desde el equipo afectado hay que cambiarlas desde un sistema de confianza. La recopilación de nombres de variables de entorno no revela sus valores, pero Cursor advierte expresamente de que eso no descarta un acceso posterior a los secretos a través del backdoor.

Para los equipos de seguridad, el aviso incluye indicadores de compromiso: hashes SHA-256 para darwin-arm64 y win32-x64, la dirección IP del servidor, huellas de las claves y comandos como ssh -N -R y schtasks /create /tn SysMon. Las consultas a ifconfig.me y api.ipify.org, por sí solas, no se consideran un indicador: son servicios legítimos.

El caso expone un punto débil de los editores con IA: las extensiones del marketplace se ejecutan con los permisos del usuario, y en la máquina del desarrollador hay claves SSH, tokens y acceso a repositorios. La suplantación de un paquete con el nombre de un proveedor conocido está pensada precisamente para aprovechar eso. Cursor no ha explicado cómo subió el atacante el paquete al marketplace, y la compañía no tiene pruebas de que otras versiones se hayan visto afectadas.