A extensão falsa do Claude Code ficou 11 horas no marketplace do Cursor em 29 de outubro de 2026 e tentou instalar um backdoor SSH em até 5.000 computadores de desenvolvedores. O ataque falhou na maioria dos casos, mas quem usou o editor nesse período deve verificar imediatamente se a chave SSH "svc-telemetry" está presente no sistema.
O que aconteceu com a extensão Claude Code em 29 de outubro
Em 29 de outubro de 2026, versões adulteradas da extensão falsa do Claude Code ficaram disponíveis no marketplace do editor de código Cursor. As versões afetadas foram a 2.1.312 e a 2.1.313 do pacote Anthropic.claude-code, distribuídas entre 2h27 e 13h35 (horário do Pacífico), uma janela de cerca de 11 horas.
Segundo a Cursor, até 5 mil desenvolvedores foram expostos ao pacote malicioso. A empresa suspendeu temporariamente todo o marketplace para auditar as demais extensões, rotacionou suas chaves de acesso e trabalhou com o provedor de hospedagem para tirar do ar o servidor do atacante antes de reabrir a loja.
A Anthropic confirmou que não desenvolveu as versões comprometidas. O Cursor não explicou publicamente como um pacote com o identificador oficial da Anthropic foi publicado em seu marketplace. A Anthropic não se manifestou até a publicação desta matéria.
Como o malware tentava tomar o controle da máquina
Um loader JavaScript malicioso foi inserido no início do arquivo extension.js. O código restante da extensão legítima permaneceu intacto, o que dificultava a detecção. A rotina era executada no momento em que o Node carregava o módulo, antes do callback normal de ativação, sem nenhuma ação do usuário.
O ataque tinha três etapas: adicionar a chave SSH "svc-telemetry" ao computador, ativar o serviço de login remoto SSH da máquina e estabelecer um túnel reverso para um servidor externo. A reconexão era tentada a cada 60 segundos (1x por minuto), inclusive após reinicializações.
Para persistência, o malware usava um LaunchAgent no macOS e uma tarefa agendada com fallback na pasta Inicializar no Windows.
Os dados coletados incluíam nome de usuário, nome do computador, sistema operacional, arquitetura do processador, diretórios de trabalho, e-mail do Git, endereço IP e os nomes de até 40 variáveis de ambiente ligadas a credenciais, sem os valores diretos, mas suficiente para mapear quais segredos a máquina acessava.
Por que a maioria saiu ilesa
O malware tinha falhas técnicas. No macOS, ativar o SSH exige permissões de administrador: o código tentava executar systemsetup -getremotelogin sem elevação, recebia um erro de acesso e nunca ativava o serviço. No Windows, o instalador do servidor OpenSSH era chamado por /bin/sh, um shell inexistente em instalações padrão.
Mesmo com essas falhas, as chaves SSH eram instaladas e os mecanismos de persistência eram criados. Para quem concedeu permissões elevadas ao Cursor ou já tinha o serviço SSH ativo, o risco era concreto.
A BleepingComputer, que analisou o incidente com detalhes técnicos, confirmou que o Cursor foi a única fonte de distribuição do pacote, descartando contaminação no VS Code Marketplace, Open VSX ou npm.
Por que isso importa para o seu negócio
Desenvolvedores que usam ferramentas de IA em ambientes com acesso a repositórios privados, APIs pagas ou sistemas internos são o alvo mais rentável para esse tipo de ataque. A extensão falsa do Claude Code mostra que o vetor de entrada pode ser a loja de um editor de código, não apenas um link suspeito.
O episódio também aponta uma lacuna nos marketplaces de extensões para IA: o pacote malicioso usava o identificador legítimo da Anthropic. Incidentes como o relay malicioso do Claude Code detectado pela Symantec e este ataque mostram que ferramentas de IA para desenvolvimento viraram alvo recorrente em 2026.
Para reduzir o risco: revise quais extensões têm permissão elevada no seu editor, monitore chaves SSH não reconhecidas em ~/.ssh/authorized_keys e mantenha o Cursor atualizado para a versão 2.1.314 ou posterior.
Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.
Fontes:
