Backdoor em extensão do Claude para o Cursor ameaçou até 5000 desenvolvedores por quase 12 horas

A extensão oficial da Anthropic para VS Code, distribuída pelo marketplace do editor Cursor, ficou quase 12 horas com um backdoor. A versão maliciosa 2.1.313, segundo o próprio Cursor, afetou no máximo 5000 usuários. Ela foi publicada a partir da conta oficial verificada da Anthropic, e até agora nem o Cursor nem a Anthropic explicaram como os atacantes conseguiram acesso a essa conta. Além disso, a Anthropic não publicou nenhum alerta para os clientes.

Como a versão 2.1.313 chegou às máquinas dos desenvolvedores

Segundo o pesquisador independente Kevin Beaumont, a Anthropic lançou a versão limpa 2.1.314 algumas horas depois do aparecimento da maliciosa. Luke Roberts, CTO e cofundador da empresa de segurança Phorian, classificou o incidente como um comprometimento da cadeia de suprimentos: o invasor obteve acesso ao canal oficial de distribuição, e a 2.1.313 substituiu a 2.1.312. No Cursor, as extensões são atualizadas automaticamente por padrão, embora seja possível desativar isso nas configurações. Por isso, para muitos usuários o código pode ter chegado sem um único clique.

Deve-se considerar infectado quem instalou ou atualizou a extensão da Anthropic no Cursor na quinta-feira, das 5:27 às 16:35 no horário da Costa Leste dos EUA. Quem fez isso pouco antes dessa janela também deve ter cautela. As extensões do Cursor rodam com os privilégios da própria IDE, então, depois de instalado, o código malicioso podia acessar arquivos locais, código-fonte e ferramentas do desenvolvedor.

O que o backdoor fazia e onde ele falhava

Segundo a descrição do Cursor, o código funciona em Windows, macOS e Linux e executa várias ações:

• coleta nome do host e do usuário, sistema operacional, arquitetura, diretório home, nomes das variáveis de ambiente, diretórios de trabalho, e-mail configurado no Git e IP público;
• tenta adicionar a chave SSH do atacante ao authorized_keys, ativar o serviço SSH local e abrir um túnel SSH reverso;
• fixa o túnel no sistema por meio de um LaunchAgent no macOS ou de uma tarefa do agendador com privilégios SYSTEM e um script de inicialização reserva no Windows; os scripts em segundo plano repetem a tentativa aproximadamente a cada 60 segundos;
• envia dados do host e o estado do backdoor por requisição HTTP POST para /beacon, na porta 8099.

A coleta dos nomes das variáveis de ambiente, na avaliação da Phorian, serve para inventariar rapidamente chaves de nuvem e tokens de API presentes na máquina. Provavelmente, é assim que o operador escolhia quais dispositivos atacar em seguida. Os valores das variáveis, por sua vez, não são mencionados na descrição.

O código, porém, tinha erros. A etapa da chave SSH e do túnel, segundo o Cursor, falhava em quase todos os casos, exceto nos raros em que o editor era executado com privilégios de administrador. Bugs nas versões para Windows e macOS, em alguns casos, impediam o backdoor de funcionar por completo. Mesmo assim, a Phorian considera o malware uma ameaça séria: ele se fixa no sistema e envia ao operador informações de reconhecimento sobre o host.

A resposta do Cursor e o que os usuários devem fazer

O Cursor entrou em contato com o provedor de nuvem em cujo servidor ficava o receptor do reverse shell, e os dispositivos infectados não conseguem mais se conectar a ele. A versão maliciosa foi removida do marketplace, e sua distribuição foi bloqueada. O marketplace do VSCode ficou fechado por um tempo: a empresa trocou chaves, revisou o controle de acesso e verificou se outras extensões não haviam sido comprometidas. Agora ele voltou a funcionar.

Duas perguntas continuam sem resposta: como exatamente a conta da Anthropic foi invadida e por que a empresa não alerta os clientes. Nem ela nem o Cursor responderam aos pedidos da Ars Technica.

A recomendação prática para quem esteve na janela de infecção: confira os indicadores de comprometimento (endereços IP e hashes criptográficos) nas publicações do Cursor e da Phorian. Verifique o authorized_keys, o LaunchAgent e as tarefas do agendador em busca de vestígios de uma chave SSH e de um túnel que não sejam seus. Na dúvida, reemita as chaves de nuvem e os tokens de API que estavam na máquina.

A simples atualização para a 2.1.314, a julgar pela descrição dos mecanismos de persistência, não remove sozinha os registros maliciosos do sistema.

Essa é uma conclusão baseada na descrição dos mecanismos, não um fato confirmado pelos fornecedores. Além disso, vale desativar a atualização automática de extensões em ambientes de trabalho que guardam segredos valiosos.