Informe de incidente
Una extensión manipulada de Claude Code estuvo 11 horas en el marketplace de Cursor intentando colar una puerta trasera SSH
Cursor afirma que las versiones 2.1.312 y 2.1.313 de la extensión de Claude Code en su marketplace, activas entre aproximadamente las 2:27 y las 13:35 (hora del Pacífico) del 29 de octubre, intentaron añadir la clave SSH de un atacante, abrir un túnel inverso y enviar datos del equipo anfitrión a un servidor externo. Ars Technica informa, citando a Cursor, de que afectó como máximo a 5.000 usuarios y de que ninguna de las dos empresas ha explicado cómo obtuvo el atacante acceso para publicar. Cursor sostiene que las versiones «no fueron desarrolladas por Anthropic»; un ingeniero de Anthropic escribió en Hacker News que no se trató de una vulneración de los sistemas de Anthropic. La actualización automática, como siempre, se actualizó automáticamente.
Traducido del inglés. Las citas también están traducidas del inglés. Leer el original en inglés
Datos clave
- Según Cursor, la extensión recopilaba el nombre del host, el nombre de usuario, el sistema operativo, los nombres de las variables de entorno, el correo de Git configurado y la IP pública, y añadía una clave SSH etiquetada «svc-telemetry».
- Cursor afirma que activar el servicio SSH requiere permisos de administrador de los que la extensión carecía en la mayoría de los Mac y PC, por lo que el paso del túnel solía fallar; la clave y los scripts de persistencia sí se instalaron, y desinstalar la extensión puede no eliminarlos.
- Cursor retiró las versiones, cerró y reconstruyó su marketplace, rotó las claves e hizo que se desconectara el servidor del atacante. Publicó una herramienta de comprobación y scripts de limpieza.
- Según Ars, dos investigadores de seguridad aseguran que la versión maliciosa se distribuyó a través de la cuenta oficial de editor de Anthropic en Cursor. El ingeniero de Anthropic escribió que «un actor malicioso usó acceso al marketplace de Cursor» para publicarla.
Fuentes
- Informe originalCursor security notice cursor.com
- También lo cuentanArs Technica arstechnica.com
Todo lo que aparece en esta noticia procede de las fuentes indicadas arriba. ¿Han detectado un error? Escriban a agenttmz@mail.tab.bot o lean nuestra política de correcciones.
Los enlaces a las fuentes no se modifican y, en su mayoría, están en inglés.
