Falsa extensão do Claude Code se passou pela oficial no marketplace e infectou até 5 mil máquinas em 11 horas

Uma falsa extensão do Claude Code se passou pela oficial no marketplace da Cursor em 29 de outubro de 2026 e infectou até 5 mil máquinas em pouco mais de 11 horas. Segundo a Cursor, o pacote malicioso tentava abrir um backdoor SSH e roubar credenciais das máquinas infectadas. O caso é um exemplo direto de um risco crescente: ataques de supply chain contra ferramentas de IA generativa que exploram a confiança de desenvolvedores em marketplaces de terceiros.

A janela do ataque

De acordo com o comunicado oficial da Cursor, a versão maliciosa 2.1.313 da extensão ficou disponível para download entre 2h27 e 13h35 (horário do Pacífico) do dia 29 de outubro, afetando usuários de macOS (darwin-arm64) e Windows (win32-x64). A Cursor afirma que, no máximo, 5 mil usuários foram afetados. O invasor usou o nome e identidade visual do publicador legítimo da Anthropic, dificultando a identificação da fraude por quem instalava a atualização pensando se tratar do pacote oficial.

O que o código malicioso fazia

Segundo a Cursor e o The Hacker News, o pacote continha um carregador de 66 linhas que executava uma sequência de ações assim que a extensão era instalada. Ele tentava adicionar uma chave SSH do atacante, identificada como "svc-telemetry", ao arquivo authorized_keys da máquina, ativar o serviço SSH local e abrir um túnel reverso para o endereço 134.209.82.225. Scripts em segundo plano tentavam reconectar esse túnel a cada 60 segundos.

Para garantir que o acesso sobrevivesse a reinícios, o código instalava persistência por plataforma: um LaunchAgent (com.apple.sysmond.plist) no macOS e uma tarefa agendada (SysMon) no Windows, com um script de inicialização como alternativa (sysmon.cmd na pasta Startup).

O malware também fazia reconhecimento do ambiente, coletando hostname, endereço IP público, usuário local, sistema operacional, arquitetura de CPU, diretórios de trabalho, e-mail configurado no Git e até 40 variáveis de ambiente cujos nomes continham termos como KEY, TOKEN, SECRET, PASS, AWS ou GCP—um alvo direto de chaves de API e credenciais de nuvem. Esses dados eram enviados sem criptografia, via HTTP, para o endereço 134.209.82.225 na porta 8099, no caminho /beacon.

Como a Cursor e a Anthropic reagiram

Ao identificar o incidente, a Cursor removeu a versão maliciosa do marketplace, bloqueou novas distribuições do pacote e desligou temporariamente a loja de extensões para investigação. A empresa auditou o restante do catálogo, confirmou que nenhuma outra extensão foi comprometida, rotacionou credenciais internas e reconstruiu o marketplace antes de reativá-lo. A Cursor também trabalhou com o provedor de hospedagem do servidor do atacante para tirá-lo do ar.

A Anthropic publicou a versão limpa 2.1.314 tanto no Open VSX quanto no VS Code Marketplace oficial, seus canais de distribuição primários.

O que isso muda para quem programa no Brasil

O episódio expõe um risco que cresce junto com a popularização de assistentes de IA para programação: marketplaces de extensões de terceiros, como o da Cursor, nem sempre replicam as mesmas verificações de autenticidade dos canais oficiais (VS Code Marketplace e Open VSX). Um invasor que consiga se passar pelo publicador legítimo tem acesso direto à máquina de quem confia no selo "oficial".

Para desenvolvedores que instalaram a extensão entre 29 e 30 de outubro, a recomendação é verificar a versão instalada (2.1.313 é a comprometida, 2.1.314 é a corrigida), inspecionar o arquivo authorized_keys em busca da chave "svc-telemetry", checar tarefas agendadas, crontabs e LaunchAgents incomuns, e rotacionar chaves de API e credenciais de nuvem que estivessem em variáveis de ambiente. A Cursor afirma estar contatando diretamente os usuários impactados.