Extensão Comprometida do Claude Code Dissemina Trojan via Editor Cursor — Big Tech e economia digital

Pesquisadores de segurança identificaram uma violação crítica na extensão Claude Code para o editor Cursor, onde os atacantes injetaram malware na versão 2.1.313. A atualização comprometida instalou automaticamente um backdoor SSH em milhões de sistemas de desenvolvedores em Windows, Linux e macOS, potencialmente ligando-se a recentes ataques de alto perfil contra exchanges de criptomoedas.

Um incidente de segurança significativo ocorreu envolvendo a extensão Claude Code da Anthropic, que foi comprometida por atacantes que injetaram código malicioso na versão oficial distribuída através do marketplace do editor Cursor. O pesquisador de segurança Kevin Beaumont relatou que a extensão afetada, instalada em milhões de sistemas de desenvolvedores, foi usada para disseminar um Trojan. A versão vulnerável específica é identificada como 2.1.313, que foi removida do marketplace do Cursor nas primeiras horas de 30 de outubro e substituída pela versão limpa 2.1.314. Apesar da remoção, os sistemas que já foram infectados permanecem em risco.

Embora a extensão Claude Code também esteja disponível no VS Code Marketplace e no OpenVSX, o comprometimento parece estar isolado à variante hospedada na plataforma Cursor. De acordo com o operador da plataforma, a versão comprometida atingiu um máximo de 5.000 usuários dentro daquele marketplace específico. Pesquisadores de segurança do Phorion foram os primeiros a detectar o ataque, observando que a extensão manipulada estabelece automaticamente um backdoor SSH nas máquinas infectadas. Esta vulnerabilidade concede aos atacantes acesso a arquivos armazenados localmente e código-fonte em sistemas Windows, Linux e macOS.

Beaumont notou no Mastodon que o servidor de controle dos atacantes está agora offline; no entanto, anteriormente coletava nomes de host, nomes de usuário e outras informações do sistema de ambientes de desenvolvedores comprometidos. Dado que a extensão Claude Code é supostamente usada pela Binance, os pesquisadores especulam uma possível conexão entre este ataque à cadeia de suprimentos e o recente recorde de hack da exchange de criptomoedas. Desenvolvedores que instalaram a extensão Claude Code no Cursor são instados a verificar imediatamente se seus sistemas foram afetados pela versão manipulada.

Qualquer dispositivo encontrado executando o software comprometido deve ser tratado como violado, e as medidas de segurança apropriadas devem ser implementadas. Para auxiliar na detecção, Beaumont publicou regras no GitHub para o Microsoft Defender que permitem a identificação automatizada das versões afetadas da extensão Claude Code.

Fontes: Golem.de.