Extensão da Anthropic para VS Code no Cursor ficou com backdoor por quase 12 horas

A versão maliciosa 2.1.313 da extensão do Claude para VS Code foi distribuída pela conta oficial da Anthropic no marketplace do Cursor, e substituiu a 2.1.312. Segundo o Cursor, afetou "no máximo 5.000 usuários". Luke Roberts, CTO da Phorion, classificou o caso como comprometimento de cadeia de suprimentos em que o atacante acessou o canal oficial de distribuição. Ainda não se sabe como a conta foi tomada, e nem Cursor nem Anthropic responderam a perguntas sobre isso. A Anthropic também não havia emitido aviso público aos clientes.

O código tentava coletar hostname, usuário, SO, arquitetura, diretório home, nomes de variáveis de ambiente, Git email e IP público. Depois tentava adicionar uma chave SSH ao authorized_keys, ativar o serviço SSH local e abrir um reverse tunnel, com persistência via LaunchAgent (macOS) ou tarefa agendada (Windows). A telemetria ia por HTTP POST para /beacon na porta 8099. Como extensões rodam com as permissões da IDE, o risco incluía arquivos locais, código-fonte e ferramentas do desenvolvedor. A Phorion avalia que os nomes de variáveis serviam para inventariar credenciais de nuvem e tokens de API e priorizar alvos. Bugs no código para Windows e macOS barraram o backdoor em alguns casos, e a etapa da chave SSH falharia, salvo se o Cursor rodasse como administrador. Mesmo assim, a Phorion diz que a ameaça é significativa.

O Cursor trabalhou com o provedor de nuvem do servidor para cortar o acesso dos dispositivos infectados, removeu a versão do marketplace e bloqueou novas distribuições. Também fechou o marketplace para rotacionar chaves, auditar controles de acesso e confirmar que outras extensões não foram afetadas. Ele já reabriu. Quem instalou ou atualizou a extensão entre 5h27 (horário do leste dos EUA) e 16h35 de quinta-feira deve se considerar afetado. Cursor e Phorion publicaram IoCs, com IPs e hashes.

Em 31 de outubro de 2026, o CEVIU noticiou "Extensão adulterada do Claude Code no marketplace da Cursor instalava backdoor SSH persistente, diz Microsoft", com o aviso do Cursor de 29 de outubro de 2026 sobre uma cópia adulterada da extensão, nas versões 2.1.313 e 2.1.312, disponível por algumas horas. A cobertura de agora acrescenta a janela de exposição (quase 12 horas), o teto de 5.000 usuários, a distribuição pela conta oficial da Anthropic, a falha dos bugs em limitar a persistência e o silêncio da Anthropic sobre o caso.

Para quem opera times de desenvolvimento, a leitura é que o canal oficial deixou de ser garantia de integridade. Auto-update ligado por padrão encurta o tempo entre a publicação maliciosa e a execução na máquina. Vale tratar quem esteve na janela como comprometido, rotacionar credenciais de nuvem e tokens acessíveis a essas estações e checar authorized_keys e tarefas agendadas.