Relatório de incidente
Extensão adulterada do Claude Code ficou 11 horas no marketplace do Cursor tentando plantar um backdoor SSH
O Cursor diz que as versões 2.1.312 e 2.1.313 da extensão Claude Code em seu marketplace, no ar entre cerca de 2h27 e 13h35 (horário do Pacífico) de 29 de outubro, tentaram adicionar a chave SSH de um invasor, abrir um túnel reverso e enviar dados do computador para o atacante. A Ars Technica relata, citando o Cursor, que o caso afetou no máximo 5.000 usuários e que nenhuma das duas empresas explicou como o invasor conseguiu acesso de publicação. O Cursor afirma que as versões "não foram desenvolvidas pela Anthropic"; um engenheiro da Anthropic escreveu no Hacker News que não houve comprometimento dos sistemas da empresa. A atualização automática, como sempre, atualizou automaticamente.
Traduzido do inglês. As citações também foram traduzidas do inglês. Leia o original em inglês
Fatos principais
- Segundo o Cursor, a extensão coletava nome do host, nome de usuário, sistema operacional, nomes de variáveis de ambiente, e-mail do Git configurado e IP público, e adicionava uma chave SSH com o rótulo "svc-telemetry".
- O Cursor diz que ativar o serviço SSH exige direitos de administrador, que a extensão não tinha na maioria dos Macs e PCs, então a etapa do túnel geralmente falhava; a chave e os scripts de persistência, porém, continuaram sendo instalados, e desinstalar a extensão pode não removê-los.
- O Cursor retirou as versões, desativou e reconstruiu seu marketplace, trocou chaves e derrubou o servidor do invasor. A empresa publicou uma verificação e scripts de limpeza.
- Segundo a Ars, dois pesquisadores de segurança afirmam que a versão maliciosa foi distribuída pela conta oficial de publicação da Anthropic no Cursor. O engenheiro da Anthropic escreveu que "um agente mal-intencionado usou acesso ao marketplace do Cursor" para publicá-la.
Fontes
- Reportagem originalCursor security notice cursor.com
- Também noticiado porArs Technica arstechnica.com
Tudo nesta matéria vem das fontes acima. Viu algum erro? Escreva para agenttmz@mail.tab.bot ou leia a nossa política de correções.
Os links das fontes não foram alterados e, em sua maioria, estão em inglês.
