Puerta trasera en la extensión Claude Code for VS Code del Cursor Marketplace

Artículo original ↗ Discusión en Hacker News ↗

Una versión modificada maliciosamente de la popular extensión Claude Code para VS Code se distribuyó brevemente a través del marketplace de extensiones de Cursor, añadiendo una clave SSH controlada por el atacante y creando una puerta trasera de acceso remoto en las máquinas de desarrollo afectadas. Los comentaristas debaten si esto refleja un compromiso de Anthropic o de la infraestructura del marketplace de Cursor, y destacan debilidades más amplias del ecosistema de extensiones VS Code/OpenVSX, como la falta de firma, la suplantación de marketplaces y los plugins del editor con permisos excesivos. El incidente se considera una advertencia seria sobre la cadena de suministro, especialmente por posibles vínculos con un gran robo de criptomonedas, y ha impulsado peticiones de mayor aislamiento de las herramientas de desarrollo, actualizaciones automáticas diferidas y comprobaciones de procedencia más rigurosas para las extensiones.

Resumen del incidente

  • Una compilación maliciosa de la extensión “Claude Code for VS Code”, versión 2.1.313, se distribuyó con una puerta trasera basada en SSH (reverse shell).
  • Comportamiento del payload (según los análisis enlazados): se asegura de que exista ~/.ssh, añade una clave del atacante etiquetada svc-telemetry a authorized_keys, establece permisos estrictos y crea un túnel inverso.
  • El alcance total no está claro: Cursor informó posteriormente de unos 5.000 usuarios afectados en su lado; la marca de la extensión en conjunto tiene decenas de millones de instalaciones en varios ecosistemas.

Dónde vivía la versión maliciosa

  • Los participantes del hilo distinguen tres ecosistemas:
    • Microsoft VS Code Marketplace.
    • Open VSX (usado por forks de VS Code / compilaciones no de Microsoft).
    • El propio marketplace/proxy de Cursor frente a Open VSX.
  • Varios comentarios, incluidos los de representantes de Anthropic, dicen:
    • La maliciosa 2.1.313 solo estaba en el marketplace de Cursor.
    • No se distribuyó mediante el marketplace oficial de VS Code ni Open VSX.
    • 2.1.313 nunca fue una versión oficial de Anthropic; se usó 2.1.314 para “saltar” esa versión globalmente y evitar confusión.
  • Comentarios anteriores sospechaban de un compromiso de Open VSX; aclaraciones posteriores dicen que este incidente específico quedó confinado al proxy/marketplace de Cursor.

Responsabilidad y causa raíz (poco clara / en disputa)

  • Una postura: esto es un compromiso del marketplace de Cursor (o una suplantación), no una brecha del sistema ni del portátil de Anthropic.
  • Otros sostienen que Anthropic sigue teniendo parte de la responsabilidad porque:
    • El listado de Cursor usaba la marca de Anthropic (semántica de “made by”).
    • Los usuarios asumieron razonablemente que Anthropic controlaba ese canal de distribución.
  • Aún no se conoce el mecanismo exacto por el que el atacante obtuvo acceso al marketplace de Cursor.

Impacto, detección y mitigación

  • El aviso de Cursor: los usuarios pueden comprobar si se vieron afectados buscando una clave SSH añadida svc-telemetry en authorized_keys.
  • Algunos señalan que la ausencia de esa clave sugiere que el payload no llegó a ejecutarse por completo.
  • Se expresó preocupación por que, incluso si el objetivo era robar criptomonedas, la reverse shell también exponía código fuente, secretos e infraestructura.

Vínculos con otros incidentes (no probados)

  • Varios comentarios especulan con una conexión con un gran incidente contemporáneo de robo de criptomonedas, señalando la coincidencia temporal y que la víctima usa públicamente Cursor + Claude Code.
  • Otros advierten que esto es circunstancial y no está confirmado.

Preocupaciones sobre el ecosistema y la cadena de suministro

  • Los ecosistemas de VS Code / VSCodium / Open VSX son criticados por:
    • Carecer de firma fuerte, verificación y modelos de permisos sólidos para extensiones.
    • Ser vulnerables al typosquatting y a la suplantación de marketplaces.
  • Se cuestiona la afirmación de Cursor de contar con detección automatizada de malware/cadena de suministro, dado el intervalo de ~11 horas en que la compilación maliciosa estuvo activa.
  • La discusión se amplía a:
    • Registros de paquetes (npm, etc.) como eslabones débiles similares.
    • La necesidad de firma de extensiones, flujos de publicación confiables y actualizaciones automáticas diferidas (VS Code y Cursor tienen funciones de retraso, pero los valores predeterminados pueden ser demasiado agresivos).

Herramientas de IA, confianza y aislamiento

  • Muchos comentaristas reevalúan el riesgo de:
    • Herramientas de IDE agentivas con capacidades parecidas a RCE.
    • Utilidades CLI y harnesses que ejecutan código arbitrario en máquinas de desarrolladores.
  • Mitigaciones recomendadas:
    • Ejecutar herramientas de IA en contenedores, máquinas virtuales o cuentas de usuario separadas con directorios montados mínimos y credenciales SSH/Cloud estrictamente acotadas.
    • Desactivar o retrasar las actualizaciones automáticas; revisar manualmente las nuevas versiones cuando sea posible.

Comunicación y confianza

  • Varios participantes encuentran la comunicación pública confusa y lenta, especialmente sobre:
    • Qué marketplaces se vieron afectados.
    • Si los propios sistemas de Anthropic fueron comprometidos.
  • Se pide que Anthropic y Cursor publiquen informes de incidente y postmortems más claros y centralizados, más allá de publicaciones dispersas en redes sociales y ediciones del marketplace.