Hoy detectamos un incidente de seguridad relacionado con un paquete de extensión específico en el marketplace de automatizaciones de VS Code de Cursor: Anthropic.claude-code versión 2.1.313. Esta versión maliciosa de la extensión no fue desarrollada por Anthropic. Se vieron afectados, como máximo, 5000 usuarios, con quienes nos pondremos en contacto directamente.

#Qué ocurrió

Hoy, aproximadamente entre las 2:27 a. m. PT y la 1:35 p. m. PT, estuvo disponible en el mercado de extensiones de VS Code de Cursor una versión modificada de forma maliciosa de la extensión Claude Code de Anthropic. La extensión ejecuta código malicioso que intenta instalar una puerta trasera SSH persistente. En concreto:

• Recopila información del host y del usuario: nombre del host, nombre de usuario, sistema operativo, arquitectura, ruta del directorio personal, nombres de variables de entorno, directorios de trabajo, correo electrónico de Git configurado e IP pública.
• Intenta agregar una clave SSH controlada por el atacante a authorized_keys, habilitar el servicio SSH local y abrir un túnel SSH inverso. Debido a errores en el código malicioso, este paso fallaría, salvo en circunstancias muy poco habituales en las que Cursor se hubiera iniciado con privilegios de administrador.
• Intenta que el túnel SSH inverso sea persistente mediante un LaunchAgent (macOS) o una tarea programada que intenta ejecutarse como SYSTEM, con un script de inicio como alternativa (Windows). Unos scripts en segundo plano vuelven a intentar abrir el túnel aproximadamente cada 60 segundos.
• Envía los detalles del host y el estado de la puerta trasera mediante una solicitud HTTP POST a /beacon en el puerto 8099.

Nota: el servidor del atacante ya no está operativo.

• Colaboramos con el proveedor de nube que lo alojaba para desconectarlo, por lo que la shell inversa y el envío POST de los detalles del host ya no funcionan.
• Estos hallazgos se refieren al paquete identificado. No tenemos pruebas de que otras versiones de la extensión ni la distribución oficial estén afectadas.
• Además, habilitar el servicio SSH local requiere permisos de administrador, que la extensión maliciosa no tiene en la mayoría de los hosts macOS y Windows. En esos hosts, el paso falla y el atacante no habría podido iniciar sesión a través del túnel. Aun así, la extensión agrega la clave SSH del atacante, instala mecanismos de persistencia y envía los detalles del host al atacante. En cualquier caso, sigue los pasos de corrección que se indican a continuación.

#Qué hicimos

• En cuanto la detectamos, eliminamos la versión maliciosa del marketplace y bloqueamos su distribución. Después, por precaución, cerramos por completo el VSCode Marketplace.
• Auditamos los accesos y confirmamos que ninguna otra extensión había sido manipulada.
• Rotamos nuestras claves, reconstruimos el marketplace y lo volvimos a poner en línea.
• Colaboramos con el proveedor de alojamiento para desconectar el servidor malicioso, lo que frenó el ataque al bloquear la conexión con ese servidor.

#Qué debes hacer

Si instalaste Anthropic.claude-code 2.1.313, o actualizaste a esa versión, desde el mercado de extensiones de VS Code de Cursor entre las 2:27 a. m. PT y la 1:35 p. m. PT del 29 de octubre de 2026:

1. Ejecuta la comprobación que aparece a continuación para validar si te afecta.
2. Busca en la telemetría de endpoints, de red y de instalación de extensiones los indicadores que se detallan a continuación.
3. Aísla los hosts que muestren indicios de ejecución de la carga útil o de instalación de la puerta trasera.
4. Elimina la clave SSH no autorizada, los mecanismos de persistencia y los procesos de túnel en ejecución con los scripts de corrección que aparecen a continuación, y evalúa si es necesario reconstruir el host. Puede que desinstalar la extensión no sea suficiente: la carga útil deja scripts de persistencia independientes que siguen ejecutándose.
5. Desde un sistema de confianza, rota las credenciales y sesiones accesibles desde los hosts afectados. Que la recopilación de variables de entorno haya sido limitada no descarta un acceso posterior a credenciales a través de la puerta trasera.

#Comprueba si te afecta

La extensión maliciosa añade la clave pública del atacante, etiquetada como svc-telemetry, a tus claves SSH autorizadas. Para comprobar si está presente:

En macOS, ejecuta:

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

En Windows, ejecuta lo siguiente en PowerShell:

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

Si se encuentra la clave, tu máquina está afectada. Sigue los pasos 3 a 5 anteriores y ejecuta el script de corrección para tu plataforma que aparece a continuación.

#Remediar las máquinas afectadas

Estos scripts eliminan la extensión maliciosa, los mecanismos de persistencia, los procesos de túnel en ejecución y la clave SSH del atacante. Si queda algún rastro, terminan con un código de salida non-zero.

En macOS, descarga remediate-macos.sh y ejecútalo como el usuario afectado (no como root) desde la carpeta donde lo guardaste:

bash remediate-macos.sh

En Windows, descarga remediate-windows.ps1 y ejecútalo desde una ventana de PowerShell abierta con Ejecutar como administrador, en la carpeta donde lo guardaste:

powershell -ExecutionPolicy Bypass -File .\remediate-windows.ps1

#Indicadores de compromiso

#Paquete

• SHA-256 del VSIX modificado (darwin-arm64): 432ccdee3801f99e52b8fe31f69ea9870118e96ea7ef9ecabed1479621b5ab62 (MD5 da5469c4221775e9fe2e413e59ca7fd9)
• SHA-256 del VSIX modificado (win32-x64): 3de1722901165769893bef57c72594e9a54459faa23f3091b136b79966edd081 (MD5 bd3b71ddf3d0cc3af76249afd2c0eda1)
• Código modificado: el archivo extension.js de la carpeta de la extensión anthropic.claude-code-2.1.313-darwin-arm64 (macOS) o anthropic.claude-code-2.1.313-win32-x64 (Windows) contiene 134[.]209[.]82[.]225 y svc-telemetry

#Red

• Endpoint del atacante: 134[.]209[.]82[.]225
• SSH inverso: tunnel@134[.]209[.]82[.]225, TCP 22
• Beacon externo: hxxp://134[.]209[.]82[.]225:8099/beacon (HTTP POST)
• Intento de beacon local: 127[.]0[.]0[.]1:8099/beacon (HTTP POST, loopback)
• Consultas de IP pública a ifconfig[.]me / api[.]ipify[.]org: son servicios legítimos; el acceso por sí solo no es un indicador de compromiso

#SSH

• Clave pública no autorizada: ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDdvylCEJ/k2TpezcTfedrkHyFSK9IZ3vmP6vhY4Ss0P svc-telemetry
• Huella digital de la clave no autorizada: SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk
• Huella digital de la clave del túnel inverso: SHA256:KOAU57+ZG6u3MG4WwzPzPX2O5YEe9qdOC1Bl+6MVyDQ
• Comentario de la clave: svc-telemetry

#Archivos y persistencia

• macOS: clave no autorizada en ~/.ssh/authorized_keys; ~/.config/.smt, ~/.config/.smtk; $TMPDIR/.stk_<10 hex>; ~/Library/LaunchAgents/com.apple.sysmond.plist (etiqueta com.apple.sysmond)
• Windows: %USERPROFILE%\.ssh\authorized_keys, %USERPROFILE%\.config\smt.cmd, %USERPROFILE%\.config\smtk, %TEMP%\.stk_<10 hex>; tarea programada SysMon (intenta ejecutarse como SYSTEM); como alternativa, %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\sysmon.cmd

#Proceso / línea de comandos

• ssh -N -R '*:0:localhost:22', autossh -M 0
• Opciones de SSH: StrictHostKeyChecking=no, UserKnownHostsFile=/dev/null, ServerAliveInterval=30, ServerAliveCountMax=3, ExitOnForwardFailure=yes, IdentitiesOnly=yes
• schtasks /create /tn SysMon
• systemsetup -setremotelogin on
• Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0

Si tienes más preguntas, comunícate con security@cursor.com.