Extensión de Claude Code troyanizada ataca a usuarios de Cursor con puerta trasera SSH

El 29 de octubre de 2026, investigadores de ciberseguridad identificaron una versión troyanizada de la extensión oficial Claude Code de Anthropic distribuida a través del marketplace de Cursor IDE. La actualización maliciosa, que se hacía pasar por la versión legítima 2.1.313, intentó instalar una puerta trasera SSH persistente en los sistemas afectados antes de que Cursor cerrara su marketplace para contener la brecha.

Qué ocurrió

Los atacantes inyectaron un cargador malicioso en el bundle JavaScript principal de la extensión Claude Code, distribuyéndolo bajo la identidad de editor y el ID de extensión legítimos de Anthropic. Este ataque a la cadena de suministro apuntó específicamente a los usuarios de Cursor IDE, sin evidencia de que el paquete comprometido llegara al Microsoft VS Code Marketplace o a Open VSX. Cursor confirmó que como máximo 5.000 usuarios se vieron afectados durante la breve ventana en la que la versión maliciosa estuvo disponible.

El incidente ocurrió aproximadamente entre las 2:27 a.m. y la 1:35 p.m. (hora del Pacífico) del 29 de octubre de 2026. Una vez detectado, Cursor suspendió temporalmente su marketplace para eliminar el paquete comprometido y comenzó a notificar directamente a los usuarios afectados. Posteriormente, Anthropic lanzó la versión 2.1.314 en canales oficiales para reemplazar la compilación contaminada. El método exacto que utilizaron los atacantes para inyectar el código en el pipeline legítimo de la extensión sigue siendo desconocido, lo que genera preocupaciones sobre la seguridad de los canales de distribución de terceros para herramientas de desarrollo.

Jenn Gile, cofundadora de OpenSourceMalware, señaló que el paquete se identificaba a sí mismo como la extensión auténtica anthropic.claude-code, pero contenía un cargador malicioso de 66 líneas insertado antes del código legítimo. Esta técnica permite que el malware ejecute su carga útil mientras sigue funcionando la funcionalidad esperada, dificultando la detección para los usuarios que no inspeccionan la estructura subyacente del código.

Cómo funciona

La extensión maliciosa se activa al iniciar VS Code y cuando se abre su webview. Inmediatamente intenta añadir una clave SSH controlada por el atacante al archivo ~/.ssh/authorized_keys del usuario, etiquetándola como "svc-telemetry" para mezclarse con cuentas de servicio legítimas. Luego, el malware intenta habilitar el servicio SSH local y establecer un túnel inverso hacia el servidor de comando y control ubicado en 134.209.82[.]225.

Para garantizar la persistencia, el malware instala mecanismos específicos de plataforma: tareas programadas en Windows, entradas de crontab en Linux y LaunchAgents en macOS. También envía datos de reconocimiento al servidor del atacante mediante HTTP sin cifrar en el puerto 8099. Aunque habilitar SSH requiere derechos de administrador, lo cual puede fallar en muchos hosts de macOS y Windows, el malware tiene éxito al añadir la clave SSH y establecer la persistencia independientemente del nivel de privilegios.

La baliza transmite información sensible del host, incluyendo la dirección IP pública, el nombre de host, el sistema operativo y la arquitectura de CPU. Crucialmente, exfiltra los nombres de hasta 40 variables de entorno que contienen palabras clave como KEY, TOKEN, SECRET, PASS, AWS o GCP. Aunque los valores no se envían en la baliza inicial, los nombres de las variables revelan la presencia de credenciales en la nube y configuraciones de sistemas de CI, proporcionando una hoja de ruta para una explotación posterior si se logra acceso SSH.

Detalles clave

• Versión afectada: Solo la versión 2.1.313 distribuida vía el Cursor Marketplace fue comprometida; las versiones en Microsoft VS Code Marketplace y Open VSX no se vieron afectadas.
• Alcance del impacto: Como máximo 5.000 usuarios instalaron la actualización maliciosa entre las 2:27 a.m. y la 1:35 p.m. (PT) del 29 de octubre de 2026.
• Mecanismo de persistencia: El malware utiliza tareas programadas, crontabs y LaunchAgents para mantener el acceso tras reinicios en Windows, Linux y macOS.
• Exfiltración de datos: Envía datos de reconocimiento del host y nombres de variables de entorno a 134.209.82[.]225:8099 mediante HTTP sin cifrar.
• Puerta trasera SSH: Intenta añadir una clave controlada por el atacante etiquetada como "svc-telemetry" a ~/.ssh/authorized_keys y establecer un túnel inverso.
• Remediación: Anthropic ha lanzado la versión limpia 2.1.314; Cursor está contactando directamente a los usuarios afectados.

Por qué importa

Este incidente destaca los riesgos inherentes a depender de marketplaces de terceros para herramientas críticas de desarrollo. Incluso cuando el proveedor original de software es reputado, el canal de distribución puede convertirse en un punto único de fallo. Para los equipos de ingeniería, esto subraya la necesidad de prácticas rigurosas de seguridad en la cadena de suministro, incluyendo la verificación de checksums y el monitoreo de actualizaciones inesperadas en pipelines automatizados. El hecho de que el malware imitara un ID de actualización legítimo lo hace particularmente peligroso para usuarios con auto-actualización habilitada.

El robo de nombres de variables de entorno es una amenaza significativa para el desarrollo moderno nativo de la nube. Aunque los atacantes no robaron inmediatamente los valores de las credenciales, saber qué secretos existen en el entorno de un desarrollador permite realizar phishing dirigido o una explotación adicional si la puerta trasera SSH tiene éxito. Para los líderes técnicos, esto sirve como recordatorio para aplicar principios de mínimo privilegio y rotar regularmente las credenciales, especialmente aquellas almacenadas en variables de entorno locales.

Qué puedes hacer

• Verifica tu instalación: Comprueba si instalaste Claude Code versión 2.1.313 desde el Cursor Marketplace entre las 2:27 a.m. y la 1:35 p.m. (PT) del 29 de octubre de 2026.
• Aísla los hosts afectados: Si sospechas de una infección, desconecta la máquina de la red para evitar más exfiltración de datos o acceso remoto.
• Elimina artefactos maliciosos: Borra la clave SSH no autorizada etiquetada como "svc-telemetry" de ~/.ssh/authorized_keys y elimina cualquier tarea programada, crontab o LaunchAgent desconocido.
• Rota credenciales: Rota inmediatamente todas las claves API, tokens y secretos almacenados en variables de entorno, especialmente aquellos relacionados con AWS, GCP o sistemas de CI.
• Actualiza a una versión segura: Instala la versión limpia 2.1.314 de Anthropic desde el Microsoft VS Code Marketplace o Open VSX en lugar del Cursor Marketplace.
• Monitorea anomalías: Revisa los registros de red para conexiones salientes hacia 134.209.82[.]225 y monitorea los registros SSH para intentos de inicio de sesión no autorizados.