Extensão adulterada do Claude Code no marketplace da Cursor instalava backdoor SSH persistente, diz Microsoft

31 de outubro de 2026

Resumo

Em 29 de outubro de 2026, a Cursor informou que uma cópia adulterada da extensão Claude Code (anthropic.claude-code, versões 2.1.313 e 2.1.312) ficou disponível em seu marketplace por algumas horas, em uma tentativa de ataque à cadeia de suprimentos contra usuários da plataforma. Segundo a Cursor, o pacote ficou no ar de cerca de 2h27 às 13h35 (horário do Pacífico, PDT). A Microsoft confirmou que os pacotes maliciosos nunca foram publicados nem distribuídos pelo Visual Studio Marketplace ou pelo pacote npm @antropic-ai/claude-code, que não foram afetados. A Anthropic confirmou à Microsoft que seus sistemas não foram comprometidos e que não desenvolveu o pacote malicioso. Até agora, as evidências indicam que o incidente se limita ao marketplace da Cursor.

O Microsoft Threat Intelligence analisou o código JavaScript injetado. O loader roda quando o módulo da extensão é carregado e tenta adicionar uma chave SSH controlada pelo atacante, habilitar o serviço SSH local, estabelecer reverse SSH forwarding, configurar persistência e reportar dados do host. O sucesso do acesso remoto depende dos privilégios do host, da configuração de SSH e da configuração do servidor do atacante, mas o loader pode gravar chaves e artefatos de persistência mesmo quando o acesso pelo túnel falha. Ele usa componentes embutidos e ferramentas nativas do sistema, sem baixar outro executável, e suprime a saída de comandos e captura erros em silêncio para esconder falhas e atividade maliciosa.

A função injetada roda antes do código esperado da extensão e, via APIs do Node.js, pode coletar informações do host, modificar arquivos e executar comandos do sistema operacional. Após a tentativa de configurar acesso e persistência, um callback atrasado tenta enviar os dados coletados e nomes de variáveis de ambiente selecionadas. A sequência descrita reflete a ordem de execução do código e não prova que cada etapa teve sucesso em todos os hosts.

Como mitigação, as organizações devem identificar sistemas que instalaram ou atualizaram automaticamente para essa versão a partir do marketplace da Cursor, preservar evidências, remover artefatos maliciosos confirmados, revisar a telemetria de endpoint e de rede e rotacionar credenciais ou revogar sessões quando a investigação indicar exposição. O post traz ainda detecções do Microsoft Defender XDR, consultas de advanced hunting, técnicas MITRE ATT&CK e indicadores de comprometimento (IOCs).

Aprofundamento CEVIU

Aprofundamento

Em 29 de outubro de 2026, a Cursor informou que uma cópia adulterada da extensão Claude Code (anthropic.claude-code, versões 2.1.312 e 2.1.313) ficou no ar no marketplace da plataforma de cerca de 2h27 às 13h35 (PDT). A Microsoft afirma que os pacotes nunca foram publicados no Visual Studio Marketplace nem no npm @antropic-ai/claude-code, e que a Anthropic confirmou que seus sistemas não foram comprometidos. Até agora, as evidências apontam para um incidente restrito ao marketplace da Cursor.

O código JavaScript injetado roda antes do código esperado da extensão, assim que o módulo carrega. Usando APIs do Node.js, ele coleta dados do host (hostname, usuário, sistema, arquitetura, diretórios e e-mail global do Git) e nomes de variáveis de ambiente com termos como KEY, TOKEN, SECRET, PASS, AWS ou GCP, até quarenta. Só os nomes são enviados, não os valores, então isso não prova roubo dos segredos. O loader grava no authorized_keys uma chave Ed25519 com o comentário svc-telemetry, tenta habilitar o SSH local e abre um reverse SSH forwarding com a conta remota tunnel. A persistência usa nomes que imitam monitoramento: SysMon e com.apple.sysmond. Não há download de outro executável, e erros são engolidos em silêncio enquanto a extensão segue funcionando. A Cursor reporta que erros e exigência de permissão de administrador bloquearam o acesso SSH na maioria dos hosts macOS e Windows, mas chave e persistência ainda podiam ser plantadas.

Por que isso importa

Para quem opera segurança em times de desenvolvimento, o ponto é que atualizar ou remover a extensão não limpa nada: chaves SSH, scripts e entradas de inicialização ficam fora do diretório dela. Leitura editorial: a inclusão de controles como lista de publishers aprovados e período de espera (cooldown) para versões novas, citados pela Microsoft, tende a ser a defesa mais barata contra esse tipo de ataque. A coleta de nomes de variáveis também ajuda o atacante a escolher alvos com credenciais de nuvem.

Linha do tempo

27/04/2026
CEVIU noticia o pacote npm malicioso @bitwarden/[email protected], ligado ao incidente da cadeia de suprimentos da Checkmarx.
25/05/2026
GitHub confirma acesso a cerca de 3.800 repositórios internos após extensão maliciosa do VS Code.
09/06/2026
Microsoft remove cerca de 70 projetos open source do GitHub com malware voltado a credenciais de desenvolvedores de IA.
31/10/2026
Microsoft detalha a extensão Claude Code adulterada no marketplace da Cursor, com backdoor SSH persistente.

Perguntas frequentes

Quem foi afetado pela extensão Claude Code adulterada?

Usuários que instalaram ou atualizaram automaticamente as versões 2.1.312 ou 2.1.313 de anthropic.claude-code pelo marketplace da Cursor durante a janela de exposição. O Visual Studio Marketplace e o pacote npm @antropic-ai/claude-code não foram afetados, segundo a Microsoft.

Como saber se um host foi comprometido?

Verifique o authorized_keys do usuário (no Windows, também C:\ProgramData\ssh\administrators_authorized_keys) em busca da chave com o comentário svc-telemetry, confirmando contra o fingerprint dos IOCs. Procure ainda tarefas ou agentes como SysMon e com.apple.sysmond e os arquivos .smt e .smtk. A ausência do marcador sozinha não encerra a investigação.

O que fazer se a extensão foi instalada?

Preserve as evidências, isole dispositivos com sinais de execução, remova chaves, scripts e persistência confirmados e revise a telemetria de endpoint e rede. Rotacione credenciais e revogue sessões a partir de um dispositivo limpo se houver indício de exposição. A Cursor publicou scripts de verificação e remediação, que devem ser revisados antes do uso.

O ataque roubou segredos das variáveis de ambiente?

A análise da Microsoft mostra que o callback tenta enviar apenas os nomes das variáveis, não os valores. Isso revela categorias de configuração sensível, mas não demonstra roubo dos segredos. A sequência descrita reflete a ordem do código, não que cada etapa teve sucesso em todos os hosts.

Fontes

microsoft.comfonte original

Avalie este artigo:

Categoria: CEVIU Segurança da Informação
Publicado: 31 de outubro de 2026
Editoria: CEVIU Segurança da Informação