Durante cerca de 11 horas na quinta-feira (29), a extensão do Claude Code instalada pela loja do editor Cursor (abre em nova aba) recebeu uma atualização que trazia um código escondido. O Claude Code é o assistente de programação da Anthropic (abre em nova aba), e a atualização foi feita para entregar a um invasor acesso remoto e permanente ao computador. A versão adulterada, de número 2.1.313, ficou no ar entre 2h27 e 13h35 no horário do Pacífico, ou seja, entre 6h27 e 17h35 em Brasília. Segundo o Cursor, ela atingiu no máximo 5 mil usuários.
O número é pequeno. O caminho do ataque é o que preocupa. Não houve aplicativo falso com nome parecido nem link suspeito por e-mail. Segundo o The Hacker News, a versão maliciosa foi distribuída com o mesmo identificador da extensão oficial, como uma atualização comum. O usuário seguiu o conselho básico de segurança, que é manter tudo atualizado, e foi justamente isso que o expôs.
A culpa é de quem
O aviso de segurança do Cursor (abre em nova aba) diz que a versão maliciosa "não foi desenvolvida pela Anthropic". Nas primeiras horas houve confusão. Alguns relatos apontaram também o Open VSX (abre em nova aba), repositório aberto de extensões que a loja do Cursor espelha. A Socket, porém, não encontrou sinal da versão 2.1.313 no Open VSX nos registros que examinou. Ax Sharma, chefe de pesquisa da Manifold Security, também contestou essa hipótese.
A OpenSourceMalware atualizou seu relato depois de ser procurada pelo próprio Cursor. A empresa confirmou que a origem foi a sua loja, que "sofreu algum tipo de comprometimento". Na loja padrão do VS Code (abre em nova aba), mantida pela Microsoft, nenhuma versão maliciosa foi reportada.
O que o código fazia
Não era preciso conversar com o Claude nem clicar em nada. Segundo a StepSecurity, bastava a extensão carregar ao abrir o editor. A OpenSourceMalware descreve o truque: um trecho de 66 linhas colado antes do código legítimo. O resto do pacote funcionava como sempre, e o arquivo ficou só uns 7 KB maior que a versão anterior.
Ao ser ativado, o código fazia o seguinte:
- coletava o nome do computador, o usuário, o sistema operacional, o e-mail configurado no Git e o IP público;
- colocava uma chave do invasor na lista de "chaves autorizadas" do SSH, o sistema de acesso remoto. Na prática, é como entregar uma cópia da chave de casa a um estranho;
- tentava ligar o serviço de SSH e abrir um túnel até o servidor do atacante;
- se reinstalava a cada inicialização do macOS e do Windows;
- enviava tudo para o servidor do atacante sem criptografia.
Onde o estrago pode ter parado
O Cursor aponta dois freios. O primeiro: o servidor do atacante foi derrubado com ajuda do provedor de hospedagem e não funciona mais. O segundo: ligar o SSH exige permissão de administrador, que a extensão não tem na maioria dos computadores com macOS e Windows. Esse passo só daria certo em casos incomuns, quando o Cursor foi aberto como administrador.
Essa tranquilidade, porém, tem limites. A Phorion afirma que a porta dos fundos mira também o Linux, sistema que o argumento do Cursor não menciona. Derrubar o servidor também não apaga o que ficou no computador, como a chave plantada e a reinstalação automática. Por isso o aviso traz scripts de limpeza, e a StepSecurity diz que é preciso agir se a versão 2.1.313 foi instalada em qualquer máquina.
Resposta rápida, explicação pela metade
A reação do Cursor foi rápida e mais transparente que a média do setor. A empresa:
- removeu a versão e tirou a loja inteira do ar;
- revisou os acessos e confirmou que nenhuma outra extensão foi alterada;
- trocou suas chaves e reconstruiu a loja;
- prometeu procurar diretamente cada usuário afetado.
A Anthropic, por sua vez, publicou a versão 2.1.314 no Open VSX e na loja da Microsoft, segundo o The Hacker News.
Falta, porém, a resposta mais importante. O aviso não explica como alguém conseguiu publicar uma versão com o identificador oficial da extensão dentro da loja do Cursor. Enquanto isso não for esclarecido, "já resolvemos" continua sendo uma promessa, e não uma explicação.
O que fazer agora
- Atualize a extensão para a versão 2.1.314, como pede o Cursor.
- Quem usa o VS Code com a loja da Microsoft ou instala o Claude Code pelo pacote npm oficial pode respirar: a OpenSourceMalware lista essas versões como limpas.
- Se você usa o computador do trabalho, avise a equipe de TI. A Phorion recomenda que as empresas procurem a versão 2.1.313 em todas as máquinas.
O episódio deixa uma lição que vai além do Cursor. Assistentes de programação com IA estão sendo instalados por gente que nunca abriu um terminal, e essas pessoas confiam no selo de "oficial" da loja. Os atacantes já entenderam que é mais eficiente envenenar o canal confiável do que enganar o usuário. As lojas de extensões agora precisam provar que merecem essa confiança.