Backdoor no Claude Code para a extensão VS Code no Cursor Marketplace

Visão geral do incidente

• Uma build maliciosa da extensão “Claude Code for VS Code”, versão 2.1.313, foi distribuída com uma backdoor baseada em SSH (reverse shell).
• Comportamento do payload (segundo as análises vinculadas): garante que ~/.ssh exista, adiciona uma chave do atacante rotulada svc-telemetry ao authorized_keys, define permissões restritas e estabelece um túnel reverso.
• O raio de impacto não está claro: o Cursor informou posteriormente cerca de 5.000 usuários afetados do lado deles; a marca da extensão, no conjunto dos ecossistemas, tem dezenas de milhões de instalações.

Onde a versão maliciosa estava

• Participantes do thread distinguem três ecossistemas:
  • Microsoft VS Code Marketplace.
  • Open VSX (usado por forks do VS Code / builds não Microsoft).
  • O marketplace próprio do Cursor / proxy na frente do Open VSX.
• Vários comentários, inclusive de representantes da Anthropic, dizem:
  • A maliciosa 2.1.313 estava apenas no marketplace do Cursor.
  • Ela não foi distribuída via o marketplace oficial do VS Code nem pelo Open VSX.
  • 2.1.313 nunca foi um release oficial da Anthropic; 2.1.314 foi usado para “pular” essa versão globalmente e evitar confusão.
• Comentários anteriores suspeitavam de comprometimento do Open VSX; esclarecimentos posteriores dizem que esse incidente específico ficou confinado ao proxy/marketplace do Cursor.

Responsabilidade e causa raiz (incerta / contestada)

• Um lado: isto é um comprometimento do marketplace do Cursor (ou uma impersonificação), não uma invasão dos sistemas ou do laptop da Anthropic.
• Outros argumentam que a Anthropic ainda carrega alguma responsabilidade porque:
  • A listagem do Cursor usava a marca da Anthropic (semântica de “made by”).
  • Usuários assumiram razoavelmente que a Anthropic controlava esse canal da extensão.
• O mecanismo exato do acesso do atacante ao marketplace do Cursor ainda não é conhecido.

Impacto, detecção e mitigação

• O aviso do Cursor: usuários podem verificar se foram afetados procurando por uma chave SSH svc-telemetry adicionada em authorized_keys.
• Alguns observam que a ausência dessa chave sugere que o payload não chegou a executar completamente.
• Foram levantadas preocupações de que, mesmo que o objetivo fosse roubo de cripto, o reverse shell também expôs código-fonte, segredos e infraestrutura.

Ligações com outros incidentes (não comprovadas)

• Vários comentários especulam sobre uma conexão com um grande incidente contemporâneo de roubo de cripto, observando o timing e que a vítima usa publicamente Cursor + Claude Code.
• Outros alertam que isso é circunstancial e não confirmado.

Preocupações com ecossistema e cadeia de suprimentos

• Os ecossistemas VS Code / VSCodium / Open VSX são criticados por:
  • Falta de assinatura forte, verificação e modelos de permissões para extensões.
  • Vulnerabilidade a typosquatting e impersonificação de marketplace.
• A afirmação do Cursor de fazer varredura automatizada de malware/cadeia de suprimentos é questionada diante da janela de ~11 horas em que a build maliciosa ficou ativa.
• A discussão se amplia para:
  • Registros de pacotes (npm, etc.) como elos fracos semelhantes.
  • Necessidade de assinatura de extensões, fluxos de publicação confiável e atualizações automáticas com atraso (VS Code e Cursor têm recursos de atraso, mas os padrões podem ser agressivos demais).

Ferramentas de IA, confiança e isolamento

• Muitos comentaristas reavaliam o risco de:
  • Ferramentas de IDE agênticas com capacidades semelhantes a RCE.
  • Utilitários de linha de comando e harnesses que executam código arbitrário em máquinas de desenvolvedores.
• Mitigações recomendadas:
  • Executar ferramentas de IA em containers, VMs ou contas de usuário separadas, com diretórios montados mínimos e credenciais SSH/Cloud estritamente limitadas.
  • Desativar ou atrasar atualizações automáticas; revisar manualmente novas versões quando viável.

Comunicação e confiança

• Vários participantes consideram a comunicação pública confusa e lenta, especialmente em relação a:
  • Quais marketplaces foram afetados.
  • Se os próprios sistemas da Anthropic foram comprometidos.
• Há pedidos por relatórios de incidente e postmortems mais claros e centralizados, tanto da Anthropic quanto do Cursor, além de posts dispersos em redes sociais e edições no marketplace.