Ing. Calogero Bono
El jueves, una versión manipulada de la extensión Claude Code para Visual Studio Code estuvo unas 11 horas en el marketplace de Cursor. Contiene un backdoor SSH pensado para Windows, macOS y Linux. Según Cursor, afectó como máximo a 5.000 usuarios. Importa porque la extensión se ejecuta con los permisos del entorno de desarrollo, así que puede llegar a archivos locales y código fuente. Ya lo contábamos en nuestro primer reportaje.
Algunos términos, antes de entrar en los hechos. Backdoor es una puerta trasera oculta que permite a un atacante volver a entrar en un equipo. SSH es un protocolo para controlar un equipo de forma remota. El reverse SSH tunnel es una conexión abierta desde el equipo de la víctima hacia el atacante. Supply chain designa un ataque que pasa por un proveedor o canal de distribución de confianza. EDR es un software que detecta comportamientos anómalos en los dispositivos corporativos.
¿Qué pasó en Cursor?
Según Wired, Cursor, propiedad de SpaceX, alojó durante unas 11 horas una extensión Claude Code maliciosa. La empresa habla de descargas por parte de «como máximo 5.000 usuarios» y cerró el marketplace durante un tiempo.
Para The Register, la versión 2.1.313 pudo descargarse entre las 02.27 y las 13.35 hora del Pacífico del jueves, es decir, entre las 09.27 y las 20.35 UTC. La detectó Phorion, un proveedor de EDR, tras encontrarla en el Mac de un cliente.
¿Qué hace el backdoor?
Según Ars Technica, Cursor informa de que el código intenta instalar un backdoor SSH persistente. Añade una clave SSH del atacante, activa el servicio SSH local y abre un túnel inverso.
Los análisis de los proveedores, recogidos por The Register, muestran además la recopilación de nombres de usuario, correos Git configurados y direcciones IP públicas. Estos datos se envían al atacante.
Como las extensiones de Cursor trabajan con los permisos del entorno de desarrollo, la versión infectada probablemente tendría acceso a archivos locales, código fuente y herramientas de desarrollo.
¿Por qué el daño fue limitado?
El malware tenía un fallo. El script que abre el túnel SSH requería permisos de administrador en macOS y Windows, y en la gran mayoría de los casos no los tenía, así que fallaba. Wired lo califica de golpe de suerte.
Calum Hall, de Phorion, dijo que «todos tuvieron mucha suerte, esto podría haber sido un punto de apoyo realmente peligroso para un atacante».
Sin embargo, el fallo no elimina el riesgo. La extensión envía igualmente los datos recopilados, deja la clave del atacante e instala el mecanismo de persistencia.
¿De quién es la responsabilidad?
Anthropic niega cualquier compromiso. Felix Rieseberg, de su equipo técnico, escribió que un atacante usó el acceso al marketplace de Cursor para publicar una copia alterada, y que las versiones de los canales oficiales no están afectadas. Hay más notas sobre este caso en nuestro artículo sobre Claude Code 2.1.314.
Las primeras reconstrucciones eran distintas. Ars Technica escribe que la 2.1.313 habría pasado por la cuenta oficial de Anthropic en Cursor. Cursor, según Wired, declaró que las versiones maliciosas no fueron desarrolladas por Anthropic. Cómo consiguió el atacante el acceso sigue sin explicarse.
Límites que conviene conocer
No está claro cómo llegó el paquete al marketplace. Cursor no ha explicado si hubo una brecha interna y no respondió a Wired. La cifra de 5.000 usuarios es un máximo declarado por la empresa, no un dato verificado de forma independiente. Las fuentes tampoco coinciden en la duración – unas 11 horas según Cursor y casi 12 según Ars Technica. No sabemos si hubo accesos exitosos.
Qué cambia para quien trabaja con lo digital
Si usaste Cursor el jueves, revisa la versión instalada de la extensión. Actualizar no basta, porque la versión corregida no elimina el mecanismo de persistencia. Sigue los pasos y los scripts de limpieza publicados por Cursor y busca rastros de claves SSH desconocidas. Quien gestione servidores o repositorios con accesos desde el portátil debería rotar credenciales y claves. El caso muestra el peso de los proveedores en el flujo de trabajo, un tema que tratamos en la guía sobre el registro de proveedores NIS2.
Nuestra opinión
Que el ataque haya fallado casi en todas partes es suerte, no defensa. Un marketplace de extensiones con actualización automática por defecto es un canal privilegiado hacia las máquinas de los desarrolladores, y hay que tratarlo como tal. Anthropic tiene razón al precisar que sus sistemas no están implicados, pero para el usuario la distinción importa poco, porque el nombre en la extensión era ese. Hace falta transparencia por parte de Cursor sobre cómo se obtuvo el acceso.
Preguntas frecuentes
¿Quién se vio afectado por la extensión Claude Code infectada?
Solo quien usa Cursor e instaló la versión 2.1.313. Según Anthropic, las versiones de sus canales oficiales no están afectadas. Cursor estima como máximo 5.000 usuarios.
¿Cuánto tiempo estuvo disponible la versión maliciosa?
Unas 11 horas, según Cursor y The Register. Pudo descargarse el jueves entre las 09.27 y las 20.35 UTC. Ars Technica habla de casi 12 horas.
¿Basta con actualizar la extensión para estar a salvo?
No. Instalar la última versión no elimina el mecanismo de persistencia que dejó el malware. Necesitas los pasos de limpieza y los scripts indicados por Cursor.
¿Han hackeado a Anthropic?
Según Anthropic, no. Rieseberg y Dworken afirman que no hubo compromisos de sus sistemas ni de los portátiles de los empleados. Un atacante habría usado el acceso al marketplace de Cursor.
¿Qué hizo Cursor tras el incidente?
Eliminó la versión maliciosa, cerró el marketplace por precaución y revisó el resto de extensiones. También rotó sus propias claves y, con un proveedor cloud, bloqueó la conexión con el servidor del atacante.
Qué esperar de Cursor y Anthropic en las próximas semanas
La pieza que falta es la causa. Mientras Cursor no explique cómo entró el atacante, el riesgo para otros marketplaces sigue abierto.
- Sigue el posible informe de Cursor sobre la causa del acceso y el uso de las claves rotadas.
- Comprueba si Anthropic comunica directamente a sus clientes, ya que hasta ahora no lo había hecho.
- Valora desactivar la actualización automática de extensiones en los ajustes del editor.
