Cursor Marketplace tinha um Claude Code falso com backdoor SSH: até 5000 pessoas podem ter sido afetadas

A Cursor publicou um aviso de segurança: seu marketplace de extensões para VS Code distribuiu uma versão maliciosa da Anthropic.claude-code 2.1.313. A empresa ressalta que essa não é uma build da Anthropic. Alguém substituiu o pacote e tentou, por meio dele, instalar um backdoor SSH persistente nas máquinas de desenvolvedores. Pela estimativa da Cursor, no máximo 5000 usuários foram afetados, e a empresa promete entrar em contato diretamente com eles.

O pacote malicioso ficou no marketplace aproximadamente das 2:27 às 13:35, no horário do Pacífico. A Cursor o removeu logo após a detecção e bloqueou novas distribuições. Em seguida, por precaução, suspendeu totalmente o marketplace, verificou os acessos e confirmou que as demais extensões não foram alteradas. Depois disso, trocou as chaves, reconstruiu o marketplace e o recolocou no ar. Separadamente, a Cursor e um provedor de nuvem desativaram o servidor do atacante, de modo que o túnel reverso e o envio de dados do host não funcionam mais.

Uma observação sobre as datas: a publicação é datada de 13 de agosto de 2026, mas, nas instruções para os usuários, a janela de instalação está associada a 29 de outubro de 2026. O texto não esclarece qual das datas está correta. Por isso, guie-se pelo intervalo de horário e pela verificação da chave descrita abaixo.

O que o código malicioso fazia

A extensão coletava dados do host: nome da máquina e do usuário, sistema operacional, arquitetura, diretório home, nomes de variáveis de ambiente, diretórios de trabalho, e-mail das configurações do Git e IP público. Depois, tentava adicionar ao authorized_keys a chave SSH do atacante, com o comentário svc-telemetry, ativar o serviço SSH local e abrir um túnel SSH reverso.

Para garantir persistência, o código usava um LaunchAgent no macOS (com.apple.sysmond) e uma tarefa agendada chamada SysMon no Windows, com a pasta de inicialização como alternativa. Scripts em segundo plano repetiam a tentativa de conectar o túnel aproximadamente a cada 60 segundos. O código informava o estado do backdoor e os parâmetros do host por meio de uma requisição HTTP POST para /beacon, na porta 8099.

Segundo a Cursor, por causa de erros no próprio código, a etapa do túnel quase sempre falharia. Ativar o serviço SSH exige privilégios de administrador, e a extensão não os tem na maioria dos hosts macOS e Windows. A exceção são os raros casos em que o Cursor foi executado com privilégios elevados. As demais etapas, porém, funcionavam sem eles: a chave era adicionada, a inicialização automática era configurada e os dados do host eram enviados. Por isso, a Cursor pede que todos que instalaram esse pacote sigam as recomendações.

Como verificar a máquina e o que fazer

A verificação é simples: é preciso procurar a string svc-telemetry em ~/.ssh/authorized_keys. No Windows, há dois arquivos: o mesmo caminho no perfil do usuário e C:\ProgramData\ssh\administrators_authorized_keys. Se a chave for encontrada, a máquina foi afetada.

A Cursor recomenda então isolar o host em que há vestígios de execução do payload e rodar o script de limpeza. No macOS, é o remediate-macos.sh, executado como usuário comum, e não como root. No Windows, é o remediate-windows.ps1, no PowerShell com privilégios de administrador. Os scripts removem a extensão, os mecanismos de inicialização automática, os processos do túnel e a chave do atacante, e terminam com código diferente de zero se algo permanecer. Depois disso, vale avaliar se não é mais simples reconstruir a máquina.

Apenas remover a extensão não basta: o payload deixa scripts de inicialização separados, que continuam em execução. Credenciais e sessões acessíveis a partir da máquina afetada devem ser trocadas a partir de um sistema confiável. A coleta dos nomes das variáveis de ambiente não expõe os valores, mas a Cursor alerta de forma direta: isso não exclui o acesso a segredos mais tarde, por meio do backdoor.

Para as equipes de segurança, o aviso traz indicadores de comprometimento: hashes SHA-256 para darwin-arm64 e win32-x64, o endereço IP do servidor, fingerprints de chaves e comandos como ssh -N -R e schtasks /create /tn SysMon. As consultas a ifconfig.me e api.ipify.org, por si sós, não são consideradas indicador, pois são serviços legítimos.

O caso expõe um ponto fraco dos editores com IA: as extensões do marketplace rodam com os privilégios do usuário, e a máquina do desenvolvedor guarda chaves SSH, tokens e acesso a repositórios. A substituição de um pacote sob o nome de um fornecedor conhecido foi planejada justamente para explorar isso. A Cursor não explicou como o invasor conseguiu publicar o pacote no marketplace e não tem evidências de que outras versões tenham sido afetadas.