Ing. Calogero Bono
Na quinta-feira, uma versão adulterada da extensão Claude Code para o Visual Studio Code ficou cerca de 11 horas no marketplace do Cursor. Ela contém uma backdoor SSH pensada para Windows, macOS e Linux. Segundo o Cursor, atingiu no máximo 5.000 usuários. Isso importa porque a extensão roda com as permissões do ambiente de desenvolvimento, então pode alcançar arquivos locais e código-fonte. Já falávamos disso no nosso primeiro relato.
Alguns termos, antes de entrar nos fatos. Backdoor é uma porta de serviço escondida que permite a um atacante voltar a um computador. SSH é um protocolo para controlar um computador remotamente. O reverse SSH tunnel é uma conexão aberta a partir do computador da vítima em direção ao atacante. Supply chain indica um ataque que passa por um fornecedor ou canal de distribuição confiável. EDR é um software que detecta comportamentos anômalos em dispositivos corporativos.
O que aconteceu no Cursor?
Segundo a Wired, o Cursor, de propriedade da SpaceX, hospedou por cerca de 11 horas uma extensão Claude Code maliciosa. A empresa fala em downloads de «no máximo 5.000 usuários» e fechou o marketplace por um período.
De acordo com o The Register, a versão 2.1.313 esteve disponível entre 02h27 e 13h35 do horário do Pacífico de quinta-feira, ou seja, das 09h27 às 20h35 UTC. Foi descoberta pela Phorion, fornecedora de EDR, ao ser detectada no Mac de um cliente.
O que a backdoor faz?
Segundo o Ars Technica, o Cursor informa que o código tenta instalar uma backdoor SSH persistente. Ele adiciona uma chave SSH do atacante, habilita o serviço SSH local e abre um túnel reverso.
As análises dos fornecedores, relatadas pelo The Register, mostram também a coleta de nomes de usuário, e-mails Git configurados e endereços IP públicos. Esses dados são enviados ao atacante.
Como as extensões do Cursor trabalham com as permissões do ambiente de desenvolvimento, a versão infectada provavelmente teria acesso a arquivos locais, código-fonte e ferramentas de desenvolvimento.
Por que o dano foi limitado?
O malware tinha uma falha. O script que abre o túnel SSH exigia privilégios de administrador no macOS e no Windows e, na grande maioria dos casos, não os tinha, então falhava. A Wired o descreve como um golpe de sorte.
Calum Hall, da Phorion, disse que «todos tiveram muita sorte, isso poderia ser um ponto de apoio realmente perigoso para um atacante».
A falha, porém, não elimina o risco. A extensão ainda envia os dados coletados, deixa a chave do atacante e instala o mecanismo de persistência.
De quem é a responsabilidade?
A Anthropic nega qualquer comprometimento. Felix Rieseberg, da equipe técnica da empresa, escreveu que um agente malicioso usou o acesso ao marketplace do Cursor para publicar uma cópia alterada, e que as versões nos canais oficiais não foram afetadas. Há outras notas sobre este caso no nosso artigo sobre o Claude Code 2.1.314.
As primeiras reconstruções eram diferentes. O Ars Technica escreve que a 2.1.313 teria passado pela conta oficial da Anthropic no Cursor. O Cursor, segundo a Wired, afirmou que as versões maliciosas não foram desenvolvidas pela Anthropic. Como o atacante obteve o acesso continua sem explicação.
Limites que vale conhecer
Não está claro como o pacote chegou ao marketplace. O Cursor não explicou se houve uma violação interna e não respondeu à Wired. O número de 5.000 usuários é um máximo declarado pela empresa, não um dado verificado de forma independente. As fontes também divergem sobre a duração – cerca de 11 horas segundo o Cursor e quase 12 segundo o Ars Technica. Não sabemos se houve acessos bem-sucedidos.
O que muda para quem trabalha com tecnologia
Se você usou o Cursor na quinta-feira, verifique a versão instalada da extensão. Atualizar não basta, porque a versão corrigida não remove o mecanismo de persistência. Use os passos e os scripts de limpeza publicados pelo Cursor e procure sinais de chaves SSH desconhecidas. Quem administra servidores ou repositórios com acesso a partir do notebook deve rotacionar credenciais e chaves. O caso mostra o peso dos fornecedores no fluxo de trabalho, tema que tratamos no guia sobre o registro de fornecedores NIS2.
Nossa opinião
O fato de o ataque ter falhado quase em toda parte é sorte, não defesa. Um marketplace de extensões com atualização automática por padrão é um canal privilegiado para as máquinas dos desenvolvedores, e deve ser tratado como tal. A Anthropic tem razão em esclarecer que seus sistemas não estão envolvidos, mas para o usuário essa distinção pesa pouco, porque o nome na extensão era o dela. É preciso transparência do Cursor sobre como o acesso foi obtido.
Perguntas frequentes
Quem foi atingido pela extensão Claude Code infectada?
Apenas quem usa o Cursor e instalou a versão 2.1.313. Segundo a Anthropic, as versões nos seus canais oficiais não foram afetadas. O Cursor estima no máximo 5.000 usuários.
Por quanto tempo a versão maliciosa ficou disponível?
Cerca de 11 horas, segundo o Cursor e o The Register. Podia ser baixada na quinta-feira entre 09h27 e 20h35 UTC. O Ars Technica fala em quase 12 horas.
Basta atualizar a extensão para ficar seguro?
Não. Instalar a versão mais recente não elimina o mecanismo de persistência deixado pelo malware. São necessários os passos de limpeza e os scripts indicados pelo Cursor.
A Anthropic foi hackeada?
Segundo a Anthropic, não. Rieseberg e Dworken afirmam que não houve comprometimento dos seus sistemas nem dos notebooks dos funcionários. Um agente malicioso teria usado o acesso ao marketplace do Cursor.
O que o Cursor fez depois do incidente?
Removeu a versão maliciosa, fechou o marketplace por precaução e verificou as outras extensões. Também rotacionou as próprias chaves e, com um provedor de nuvem, bloqueou a conexão com o servidor do atacante.
O que esperar do Cursor e da Anthropic nas próximas semanas
A parte que falta é a causa. Enquanto o Cursor não explicar como o atacante entrou, o risco para os outros marketplaces continua aberto.
- Acompanhe um eventual relatório do Cursor sobre a causa do acesso e o uso das chaves rotacionadas.
- Verifique se a Anthropic comunica diretamente aos clientes, já que até agora não o fez.
- Avalie desativar a atualização automática das extensões nas configurações do editor.
