Hoje identificamos um incidente de segurança envolvendo um pacote de extensão específico no Marketplace de extensões do VS Code do Cursor: Anthropic.claude-code versão 2.1.313. Essa versão maliciosa da extensão não foi desenvolvida pela Anthropic. No máximo 5.000 usuários foram afetados, e entraremos em contato diretamente com cada um deles.

#O que aconteceu

Hoje, entre aproximadamente 2h27 e 13h35 (horário do Pacífico), uma versão modificada de forma maliciosa da extensão Claude Code da Anthropic ficou disponível no marketplace de extensões do Cursor para VS Code. A extensão executa código malicioso que tenta instalar um backdoor SSH persistente. Mais especificamente, ela:

• Coleta informações do host e do usuário: nome do host, nome de usuário, sistema operacional, arquitetura, caminho do diretório pessoal, nomes de variáveis de ambiente, diretórios de trabalho, e-mail configurado no Git e IP público.
• Tenta adicionar uma chave SSH controlada pelo invasor ao authorized_keys, habilitar o serviço SSH local e abrir um túnel SSH reverso. Devido a erros no código malicioso, essa etapa falharia, exceto em circunstâncias muito incomuns, nas quais o Cursor tivesse sido iniciado com privilégios de administrador.
• Tenta tornar o túnel SSH reverso persistente por meio de um LaunchAgent (macOS) ou de uma tarefa agendada que tenta ser executada como SYSTEM, com fallback para um script na pasta Inicializar (Windows). Scripts em segundo plano tentam restabelecer o túnel aproximadamente a cada 60 segundos.
• Envia os detalhes do host e o status do backdoor via HTTP POST para /beacon na porta 8099.

Observação: o servidor do invasor não está mais funcionando.

• Trabalhamos com o provedor de nuvem que o hospedava para tirá-lo do ar, portanto o shell reverso e o POST com os detalhes do host não funcionam mais.
• Estes resultados se referem ao pacote identificado. Não temos evidências de que outras versões da extensão ou a distribuição oficial tenham sido afetadas.
• Além disso, ativar o serviço SSH local exige direitos de administrador, que a extensão maliciosa não tem na maioria dos hosts macOS e Windows. Nesses hosts, a etapa falha e o invasor não teria conseguido fazer login pelo túnel. Ainda assim, a extensão adiciona a chave SSH do invasor, instala mecanismos de persistência e envia os detalhes do host ao invasor. De qualquer forma, siga as etapas de remediação abaixo.

#O que fizemos

• Removemos a versão maliciosa do marketplace assim que ela foi detectada e bloqueamos qualquer nova distribuição. Em seguida, por precaução, desativamos completamente o VSCode Marketplace.
• Fizemos uma auditoria dos acessos e confirmamos que nenhuma outra extensão foi adulterada.
• Rotacionamos nossas chaves, reconstruímos o marketplace e o colocamos de volta no ar
• Trabalhamos com o provedor de hospedagem para tirar o servidor malicioso do ar, interrompendo o ataque ao bloquear a conexão com esse servidor.

#O que você deve fazer

Se você instalou ou atualizou para Anthropic.claude-code 2.1.313 pelo marketplace de extensões do VS Code do Cursor entre 2h27 PT e 13h35 PT de 29 de outubro de 2026:

1. Execute a verificação abaixo para validar se você foi impactado.
2. Pesquise os indicadores abaixo na telemetria de endpoint, de rede e de instalação de extensões.
3. Isole os hosts que apresentem evidências de execução do payload ou de instalação de backdoor.
4. Remova a chave SSH não autorizada, os mecanismos de persistência e os processos de túnel em execução usando os scripts de remediação abaixo e avalie se o host deve ser reconstruído. Desinstalar a extensão pode não ser suficiente: o payload instala scripts de persistência independentes que continuam em execução.
5. Rotacione as credenciais e sessões acessíveis a partir dos hosts afetados, usando um sistema confiável. O fato de a coleta de variáveis de ambiente ter sido limitada não descarta um acesso posterior a credenciais por meio do backdoor.

#Verifique se você foi impactado

A extensão maliciosa adiciona a chave pública do invasor, identificada como svc-telemetry, às suas chaves SSH autorizadas. Para verificar:

No macOS, execute:

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

No Windows, execute no PowerShell:

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

Se a chave for encontrada, sua máquina foi afetada. Siga as etapas 3 a 5 acima e execute abaixo o script de remediação correspondente à sua plataforma.

#Corrigir as máquinas afetadas

Estes scripts removem a extensão maliciosa, os mecanismos de persistência, os processos de túnel em execução e a chave SSH do invasor. Eles são encerrados com status diferente de zero se algum desses itens persistir.

No macOS, baixe remediate-macos.sh e execute-o como o usuário afetado (não como root), a partir da pasta onde você o salvou:

bash remediate-macos.sh

No Windows, baixe o arquivo remediate-windows.ps1 e execute-o em um PowerShell aberto com Executar como administrador, a partir da pasta onde você o salvou:

powershell -ExecutionPolicy Bypass -File .\remediate-windows.ps1

#Indicadores de comprometimento

#Pacote

• SHA-256 do VSIX modificado (darwin-arm64): 432ccdee3801f99e52b8fe31f69ea9870118e96ea7ef9ecabed1479621b5ab62 (MD5 da5469c4221775e9fe2e413e59ca7fd9)
• SHA-256 do VSIX modificado (win32-x64): 3de1722901165769893bef57c72594e9a54459faa23f3091b136b79966edd081 (MD5 bd3b71ddf3d0cc3af76249afd2c0eda1)
• Código modificado: o extension.js na pasta da extensão anthropic.claude-code-2.1.313-darwin-arm64 (macOS) ou anthropic.claude-code-2.1.313-win32-x64 (Windows) contém 134[.]209[.]82[.]225 e svc-telemetry

#Rede

• Endpoint do invasor: 134[.]209[.]82[.]225
• SSH reverso: tunnel@134[.]209[.]82[.]225, TCP 22
• Beacon externo: hxxp://134[.]209[.]82[.]225:8099/beacon (HTTP POST)
• Tentativa de beacon local: 127[.]0[.]0[.]1:8099/beacon (HTTP POST, loopback)
• Consultas de IP público a ifconfig[.]me / api[.]ipify[.]org — serviços legítimos; o acesso, por si só, não é um indicador de comprometimento

#SSH

• Chave pública não autorizada: ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDdvylCEJ/k2TpezcTfedrkHyFSK9IZ3vmP6vhY4Ss0P svc-telemetry
• Fingerprint da chave não autorizada: SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk
• Fingerprint da chave do túnel reverso: SHA256:KOAU57+ZG6u3MG4WwzPzPX2O5YEe9qdOC1Bl+6MVyDQ
• Comentário da chave: svc-telemetry

#Arquivos e persistência

• macOS: chave não autorizada em ~/.ssh/authorized_keys; ~/.config/.smt, ~/.config/.smtk; $TMPDIR/.stk_<10 hex>; ~/Library/LaunchAgents/com.apple.sysmond.plist (label com.apple.sysmond)
• Windows: %USERPROFILE%\.ssh\authorized_keys, %USERPROFILE%\.config\smt.cmd, %USERPROFILE%\.config\smtk, %TEMP%\.stk_<10 hex>; tarefa agendada SysMon (tenta ser executada como SYSTEM); fallback em %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\sysmon.cmd

#Processo / linha de comando

• ssh -N -R '*:0:localhost:22', autossh -M 0
• Opções do SSH: StrictHostKeyChecking=no, UserKnownHostsFile=/dev/null, ServerAliveInterval=30, ServerAliveCountMax=3, ExitOnForwardFailure=yes, IdentitiesOnly=yes
• schtasks /create /tn SysMon
• systemsetup -setremotelogin on
• Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0

Se tiver mais perguntas, entre em contato com security@cursor.com.