Extensão falsa do Claude Code ficou 11 horas no Cursor e tentou invadir até 5 mil PCs

Entre as 6h27 e as 17h35 da última quinta-feira, 29 de outubro, a loja oficial de complementos do editor de programação Cursor (abre em nova aba) distribuiu um cavalo de Troia aos seus usuários. Durante cerca de 11 horas, no horário de Brasília, quem baixou ou atualizou a extensão do Claude Code, ferramenta que integra o assistente de inteligência artificial da Anthropic ao programa, levou para dentro do computador um código clandestino. Segundo o comunicado de segurança da própria plataforma, a versão adulterada não foi criada pela Anthropic e atingiu no máximo 5 mil pessoas antes de ser descoberta.⁠​‌​​‌​​‌​‌​​​​​‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌​​‌​‌‌‌​​‌‌​​​‌​​‌‌‌​​‌​​‌‌‌‌‌​​​‌‌​​‌​​​​‌‌​‌​​​‌‌​​‌‌​​​‌‌​​‌‌​‌‌​​‌​‌​‌‌​​​‌​​​‌‌​​‌​​​‌‌​‌‌‌​​‌​‌‌​‌​​‌‌​‌​‌​​‌‌​​​‌​‌‌​​‌​​​​‌‌​​‌​​​‌​‌‌​‌​​‌‌​‌​​​‌‌​​​‌​​​‌‌​​​‌​​‌‌​​​​​​‌​‌‌​‌​​‌‌‌​​‌​​‌‌​‌​‌​‌‌​​​‌‌​​‌‌​‌​‌​​‌​‌‌​‌​‌‌​​‌‌​​​‌‌​‌​​​‌‌​​‌‌​​​‌‌​​‌​​​‌‌​​‌‌​​‌‌​‌‌‌​​‌‌​‌​​​​‌‌​‌‌‌​‌‌​​​‌‌​‌‌​​​​‌​​‌‌‌​​‌​​‌‌​​‌​⁠

O objetivo dos invasores era montar uma porta dos fundos permanente nas máquinas com Windows e macOS. Assim que instalado, o pacote falso fazia um inventário silencioso do aparelho: copiava o nome do computador e do usuário, o sistema operacional, a arquitetura do processador, os nomes das variáveis de ambiente, as pastas de trabalho, o endereço de IP público e o e-mail configurado no Git, enviando esse relatório para um servidor externo na porta 8099. O passo seguinte seria usar uma chave digital batizada de svc-telemetry para abrir um túnel de acesso remoto (conhecido tecnicamente como SSH), entregando o controle da máquina ao criminoso. Foi aí que a operação tropeçou na própria incompetência. De acordo com a auditoria do Cursor, erros de programação dentro do próprio código malicioso impediram que o túnel funcionasse na imensa maioria dos casos.

Além do defeito de fabricação do vírus, a estrutura de segurança dos sistemas operacionais ajudou a conter o estrago. Para ligar o serviço de acesso remoto no Windows e no macOS, o programa precisaria de permissões de administrador, privilégio que o editor de código raramente possui no uso cotidiano. A combinação de falta de permissão com código malfeito salvou quase todas as vítimas de terem seus computadores operados à distância, exceto na circunstância incomum de o usuário ter iniciado o Cursor como administrador. Ainda assim, o invasor deixou a chave falsa na fechadura e instalou um mecanismo de persistência: pequenos roteiros escondidos no sistema que tentam reabrir a conexão aproximadamente a cada 60 segundos, mesmo depois que o computador é reiniciado.

O episódio também mostrou que a brecha era maior do que parecia no primeiro alarme. Na quinta-feira, o comunicado da plataforma apontava apenas a versão 2.1.313 do pacote Anthropic.claude-code como contaminada. No sábado, 31 de outubro, após um relatório técnico publicado pela empresa de cibersegurança Phorion, o aviso oficial foi atualizado para incluir a versão 2.1.312. Vale registrar que a contaminação não ocorreu na loja oficial da Microsoft, criadora do Visual Studio Code original, mas no catálogo próprio mantido pelo Cursor para seus usuários.

Desenvolvido pelo laboratório Anysphere (abre em nova aba), de São Francisco, o Cursor reagiu ao incidente puxando o freio de emergência. A empresa removeu os pacotes falsos, tirou toda a sua loja de extensões do ar por precaução, auditou os acessos para confirmar que nenhum outro complemento havia sido adulterado, trocou suas chaves de segurança e reconstruiu o catálogo antes de reabri-lo. Também acionou o provedor de nuvem usado pelos invasores para desligar o servidor que recebia os dados roubados, inutilizando o canal de comunicação do vírus. O ataque expõe a fragilidade das lojas de extensões que cercam os novos assistentes de programação, uma superfície de risco que o IA.com.br acompanha à medida que ferramentas de inteligência artificial ganham acesso direto aos computadores de empresas e profissionais.⁠​‌​​‌​​‌​‌​​​​​‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌​​‌​‌‌‌​​‌‌​​​‌​​‌‌‌​​‌​​‌‌‌‌‌​​​‌‌​​‌​​​​‌‌​‌​​​‌‌​​‌‌​​​‌‌​​‌‌​‌‌​​‌​‌​‌‌​​​‌​​​‌‌​​‌​​​‌‌​‌‌‌​​‌​‌‌​‌​​‌‌​‌​‌​​‌‌​​​‌​‌‌​​‌​​​​‌‌​​‌​​​‌​‌‌​‌​​‌‌​‌​​​‌‌​​​‌​​​‌‌​​​‌​​‌‌​​​​​​‌​‌‌​‌​​‌‌‌​​‌​​‌‌​‌​‌​‌‌​​​‌‌​​‌‌​‌​‌​​‌​‌‌​‌​‌‌​​‌‌​​​‌‌​‌​​​‌‌​​‌‌​​​‌‌​​‌​​​‌‌​​‌‌​​‌‌​‌‌‌​​‌‌​‌​​​​‌‌​‌‌‌​‌‌​​​‌‌​‌‌​​​​‌​​‌‌‌​​‌​​‌‌​​‌​⁠

Por que desinstalar a extensão não resolve o problema

Quem atualizou ou instalou o complemento durante a janela de exposição não pode se dar por satisfeito apenas clicando no botão de remover dentro do Cursor. Como o código malicioso grava arquivos de inicialização automática direto no Windows e no macOS, apagar a extensão equivale a expulsar o intruso pela porta da frente mantendo a cópia da chave que ele escondeu debaixo do tapete.

O que fazer se você instalou as versões 2.1.312 ou 2.1.313 em 29 de outubro:

• Checagem e isolamento: execute a verificação de impacto orientada pelo Cursor, revise os registros de rede e de instalação e isole imediatamente as máquinas que mostrem sinais de execução do código, sobretudo se o editor tiver sido aberto com permissão de administrador.
• Limpeza da chave intrusa: procure no arquivo de chaves autorizadas (authorized_keys) do computador a credencial identificada como svc-telemetry e apague o registro manualmente.
• Remoção dos agendadores: elimine os mecanismos de persistência deixados no sistema, o que inclui os agentes de inicialização (LaunchAgent) no macOS e as tarefas agendadas ou scripts de inicialização criados no Windows.

A plataforma informou que entrará em contato direto com os usuários atingidos e ressaltou que a distribuição oficial da Anthropic fora daquelas versões não sofreu qualquer alteração. No fim das contas, o incidente deixa uma lição prática para quem adota ferramentas de IA no trabalho: quando um programa tem permissão para ler pastas e instalar complementos, um descuido na vitrine da loja basta para transformar um assistente de produtividade em um informante dentro da própria máquina.⁠​‌​​‌​​‌​‌​​​​​‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌​​‌​‌‌‌​​‌‌​​​‌​​‌‌‌​​‌​​‌‌‌‌‌​​​‌‌​​‌​​​​‌‌​‌​​​‌‌​​‌‌​​​‌‌​​‌‌​‌‌​​‌​‌​‌‌​​​‌​​​‌‌​​‌​​​‌‌​‌‌‌​​‌​‌‌​‌​​‌‌​‌​‌​​‌‌​​​‌​‌‌​​‌​​​​‌‌​​‌​​​‌​‌‌​‌​​‌‌​‌​​​‌‌​​​‌​​​‌‌​​​‌​​‌‌​​​​​​‌​‌‌​‌​​‌‌‌​​‌​​‌‌​‌​‌​‌‌​​​‌‌​​‌‌​‌​‌​​‌​‌‌​‌​‌‌​​‌‌​​​‌‌​‌​​​‌‌​​‌‌​​​‌‌​​‌​​​‌‌​​‌‌​​‌‌​‌‌‌​​‌‌​‌​​​​‌‌​‌‌‌​‌‌​​​‌‌​‌‌​​​​‌​​‌‌‌​​‌​​‌‌​​‌​⁠