Una versión manipulada de Claude Code en Cursor intentó instalar una puerta trasera SSH
Cursor retiró las versiones 2.1.312 y 2.1.313 de Anthropic.claude-code, servidas por su marketplace el 29 de octubre en Windows y macOS; desinstalar la extensión no elimina la persistencia.
Cursor informó el 29 de octubre de que su marketplace de extensiones había servido copias manipuladas de Anthropic.claude-code 2.1.312 y 2.1.313 para Windows y macOS. Estuvieron disponibles aproximadamente desde las 02:27 hasta las 13:35, hora del Pacífico. La compañía dice que esas versiones no fueron desarrolladas por Anthropic y que el incidente afectó a la cadena de suministro del software dentro de su propio canal de extensiones.
Microsoft confirmó que las copias maliciosas no se publicaron en Visual Studio Marketplace ni en npm bajo el paquete oficial de Anthropic; también indicó que los sistemas de Anthropic no fueron comprometidos. El límite importa: no hay base para presentar esto como una actualización maliciosa de Claude Code distribuida por Anthropic o como un fallo de todas las extensiones de Cursor. La distribución documentada se limitó al marketplace de Cursor.
-InfraCrew dice: el nombre del editor identifica lo que esperabas instalar; el canal que lo entregó identifica dónde buscar el incidente.-
Qué intentaba hacer el código
Microsoft observó un cargador de JavaScript añadido al inicio de extension.js, que se ejecutaba cuando se cargaba la extensión. El código recopilaba datos como nombre del equipo y del usuario, sistema operativo, rutas de trabajo, correo Git y dirección IP; también remitía nombres de variables de entorno relacionados con secretos, sin que eso demuestre que enviara sus valores. La telemetría descrita no equivale por sí sola a una prueba de robo de credenciales.
Después intentaba añadir una clave SSH del atacante a authorized_keys, activar el servicio SSH local y abrir un túnel SSH inverso hacia infraestructura externa. El atacante podía usar ese túnel para alcanzar el servicio del equipo desde fuera, aunque dependía de permisos locales, configuración y disponibilidad del servidor remoto. Cursor y Microsoft señalan que errores del código y la necesidad de privilegios administrativos hicieron fallar parte de esos intentos en muchos equipos.
El código también intentaba dejar persistencia fuera de la carpeta de la extensión: un LaunchAgent en macOS y una tarea programada o un script de inicio en Windows. Así, la conexión podía volver a intentarse al iniciar sesión o tras reiniciar, aunque el usuario quitara la extensión del editor. Cursor trabajó con el proveedor de alojamiento para dejar fuera de servicio el servidor del atacante; eso interrumpe la comunicación con ese servidor, pero no borra por sí mismo los archivos que ya llegaron a un equipo.
-InfraCrew dice: cerrar el servidor de mando corta una ruta de entrada; el script que quedó en el portátil no recibe la orden de desaparecer por cortesía.-
La respuesta empieza por el equipo afectado
La revisión debe empezar por los registros de instalación y actualización del marketplace de Cursor en la ventana indicada, además de la versión instalada y el sistema operativo. La publicación automática de una extensión puede dejar menos margen para recordar quién pulsó «actualizar», así que conviene cruzar los registros del editor con telemetría del endpoint y de red. No se debe inferir que todos los usuarios de Cursor o Claude Code quedaron afectados.
Si una estación instaló esas versiones durante la ventana, desinstalarlas no basta. Hay que buscar la clave no autorizada y los mecanismos de inicio que describe el aviso de Cursor y la investigación de Microsoft; conservar evidencias y aislar el equipo si hay señales de ejecución o acceso. Los nombres de una tarea o de un servicio, por sí solos, no prueban compromiso: importa comprobar la acción configurada y su relación con los artefactos del incidente.
Cursor publicó comprobaciones e instrucciones de limpieza para ambos sistemas. Tras preservar lo necesario para investigar, elimina la clave y la persistencia confirmadas, detén los procesos del túnel y verifica que los artefactos no reaparezcan. Si el equipo estuvo expuesto, rota desde una máquina confiable las credenciales y sesiones a las que podía acceder; la organización debe valorar reconstruirlo según la evidencia, no asumir que actualizar el plugin saneó el sistema.
Cursor retiró las versiones, cerró temporalmente su marketplace, revisó otras extensiones, rotó sus propias claves y reconstruyó el servicio antes de volver a abrirlo. Microsoft coincide en que el paquete de Cursor no circuló por los canales oficiales de Microsoft o Anthropic. La contención del marketplace resuelve la distribución; la limpieza de cada estación sigue siendo una tarea local.
-InfraCrew dice: el catálogo volvió a funcionar; eso no convierte cada portátil en una imagen limpia.-
En equipos de desarrollo, el incidente también sirve para revisar quién puede publicar extensiones y cuánto se tarda en instalar una versión recién aparecida. Microsoft recomienda restringir la instalación a editores aprobados y aplicar un periodo de espera para nuevas versiones cuando la política de la organización lo permita. Una tienda de extensiones también es infraestructura de confianza, porque su código corre con acceso al entorno de desarrollo y a los recursos disponibles para el usuario.
Diccionario de la Crew
Cadena de suministro del software — Proceso por el que un paquete se publica, se distribuye y llega a ejecutarse en el entorno de una organización.
SSH — Protocolo cifrado usado para administrar sistemas y establecer conexiones remotas.
Túnel SSH inverso — Conexión iniciada desde el equipo afectado que permite reenviar tráfico externo hacia un servicio local.
Persistencia — Mecanismo que vuelve a ejecutar un programa o una conexión tras iniciar sesión o reiniciar.
