Una copia alterada de Claude Code dejó una puerta trasera SSH en los equipos que la instalaron desde la tienda de Cursor. El paquete falso estuvo disponible unas 11 horas el 29 de octubre, con los números de versión 2.1.312 y 2.1.313 para macOS y Windows. Cursor calcula que lo recibieron hasta 5.000 usuarios. Anthropic no desarrolló esa copia: el nombre y el identificador eran los legítimos, el contenido no.
El código dañino corría al cargar la extensión, sin abrir una conversación con el asistente. StepSecurity lo comprobó en un entorno aislado: el archivo extension.js traía un cargador de unos 7 KB delante del código legítimo, y bastaba cargar el módulo para que actuara. Ese cargador recopilaba el nombre del equipo y del usuario, el sistema operativo, la arquitectura, la carpeta personal, los nombres de las variables de entorno, el correo configurado en Git y la dirección IP pública.
La clave svc-telemetry quedaba escrita en la máquina
Con esos datos enviados a un servidor del atacante, el paso siguiente era la entrada remota. El programa intentaba añadir una clave SSH pública controlada por el atacante al archivo authorized_keys, con la etiqueta svc-telemetry, activar el servicio SSH local y abrir un túnel reverso hacia la dirección 134.209.82.225. Los guiones en segundo plano reintentaban ese túnel cada 60 segundos, esperando el momento en que la puerta quedara abierta.
La persistencia se montaba por fuera de la carpeta de la extensión. En macOS quedaba un LaunchAgent con la etiqueta com.apple.sysmond, nombre calcado de un proceso del sistema. En Windows se creaba una tarea programada llamada SysMon que intentaba correr como SYSTEM, con un guion en la carpeta de inicio como respaldo. El servidor del atacante ya no funciona: Cursor trabajó con la empresa que lo alojaba y logró tumbarlo; el túnel quedó sin destino.
Un matiz del aviso de Cursor baja un poco la temperatura, sin apagar la alarma. Activar el servicio SSH exige permisos de administrador, y errores del código dañino hacían fallar ese paso en la mayoría de los equipos, donde Cursor no corría con privilegios elevados. Aun así, la clave quedaba instalada, la persistencia quedaba escrita y los datos del equipo salían igual. Por esa razón la empresa pide correr la revisión completa a todo el que instaló el paquete en la ventana del 29 de octubre, haya visto síntomas o no.
Cursor cerró su tienda entera tras detectar la copia
La reacción fue de cierre total. Cursor retiró las versiones alteradas en cuanto las detectó, bloqueó su distribución y apagó la tienda de extensiones completa por precaución. Después auditó los accesos, confirmó que ninguna otra extensión fue alterada, rotó sus claves, reconstruyó la tienda y volvió a abrirla. El aviso se actualizó el 30 de octubre, a las 11:30 hora del Pacífico, para sumar la 2.1.312 a la lista inicial, que solo traía la 2.1.313.
Anthropic marcó distancia con datos concretos. Felix Rieseberg, de su equipo técnico, aclaró que ningún sistema de la empresa ni portátil de sus empleados quedó comprometido: un actor con acceso a la tienda de Cursor publicó la copia alterada usando el identificador oficial anthropic.claude-code. La versión 2.1.313 nunca salió por los canales oficiales, ni en Open-VSX ni en la tienda de Microsoft, y la numeración pasó directo a la 2.1.314, publicada limpia el 30 de octubre a la 01:07 UTC.
El patrón suena familiar porque ya pasó este mismo mes con otro canal de confianza: la puerta trasera de Rank Math Pro llegó dentro de su actualización oficial y también circuló unas 11 horas. En los dos casos la descarga parecía rutinaria, venía del sitio de siempre y traía el nombre correcto en la etiqueta. La diferencia está en el objetivo: un complemento de WordPress abre un sitio completo; una extensión con puerta trasera SSH abre la máquina donde vive el código fuente de una empresa.
Revisión de authorized_keys y de la versión instalada
La comprobación es corta y la dejó escrita la propia Cursor. Quien haya instalado o actualizado la extensión de Claude Code desde su tienda el 29 de octubre, entre las 2:27 y las 13:35 hora del Pacífico, debe buscar la etiqueta svc-telemetry dentro de su archivo de claves autorizadas: en macOS basta un grep sobre ~/.ssh/authorized_keys, y en Windows toca revisar también el archivo de administradores guardado en ProgramData. Si la etiqueta aparece, la máquina se trata como comprometida, sin esperar otra señal.
Para limpiar, Cursor publicó dos guiones oficiales, remediate-macos.sh y remediate-windows.ps1, que retiran la extensión, la persistencia, los procesos del túnel y la clave del atacante, y terminan con error si queda algún resto. Desinstalar la extensión a mano no alcanza, porque los archivos de persistencia viven fuera de su carpeta y siguen corriendo. Hecha la limpieza, toca rotar las credenciales y sesiones al alcance de ese equipo, desde una máquina limpia, y dejar Claude Code en la versión 2.1.314.
La pregunta que sigue sin respuesta es la primera de la cadena: nadie ha explicado cómo el actor consiguió publicar en la tienda de Cursor con el identificador verificado de Anthropic. StepSecurity lo deja anotado como un dato desconocido y Cursor no lo cuenta en su aviso. De esa respuesta depende si fue un robo de credenciales del editor o una falla del registro de la tienda, y cada equipo con la clave svc-telemetry seguirá en la lista de comprometidos mientras tanto.
Fuente: Cursor
