El editor de código basado en inteligencia artificial Cursor enfrentó un incidente de seguridad consistente en la provisión de una versión maliciosa modificada de la popular extensión Claude Code de Anthropic, la cual se distribuyó a través de la tienda de extensiones de Cursor durante unas 11 horas en el mes de octubre, lo que resultó en la exposición de hasta 5,000 desarrolladores a software malicioso destinado a instalar puertas traseras persistentes para conexiones mediante el protocolo SSH.
Las investigaciones técnicas realizadas por entidades de seguridad aclararon que la extensión vulnerada portaba el número de versión 2.1.313 y fue publicada entre las 2:27 a. m. y la 1:35 p. m. en hora local de la zona del Pacífico. Según los informes, los atacantes inyectaron código JavaScript malicioso al inicio del archivo extension.js de la extensión, dejando intacto el código original para asegurar que funcionara con normalidad en apariencia, de modo que el código malicioso comienza a operar inmediatamente al cargar la extensión sin requerir ninguna interacción directa por parte del usuario.
Mecanismo de ataque y datos objetivo
Al instalar la extensión maliciosa en los sistemas de las víctimas, esta ejecuta una serie de operaciones destructivas que incluyen la recopilación de información detallada sobre el sistema y el usuario, como la dirección de correo de Git y la dirección IP pública. Asimismo, procede a añadir una clave SSH maliciosa bajo el control de los atacantes e intenta activar el acceso a través del protocolo para establecer un túnel inverso, además de garantizar la persistencia operativa mediante herramientas del sistema como la función LaunchAgent en sistemas Mac o las tareas programadas y puntos de inicio en Windows.
La extensión envió los datos de reconocimiento y el estado de la puerta trasera a un servidor controlado por los atacantes con la dirección IP 134.209.82.225. A pesar de la gravedad del ataque, los investigadores revelaron la existencia de errores de programación en la rutina de configuración de la conexión que impidieron a los atacantes lograr un acceso a largo plazo en muchos de los sistemas afectados debido al fallo en la activación del servicio SSH en los dispositivos donde no estaba habilitado previamente.
Medidas correctivas y respuesta de la plataforma
Tras el descubrimiento de la vulnerabilidad, la plataforma Cursor se apresuró a retirar la extensión maliciosa y a suspender temporalmente la tienda de extensiones para llevar a cabo auditorías exhaustivas de todas las extensiones y la rotación de las claves de acceso, además de cooperar con el proveedor de alojamiento para cortar la comunicación con el servidor de los atacantes. La empresa confirmó mediante sus investigaciones internas que ninguna otra versión ni los canales oficiales de distribución se vieron afectados.
¿Qué significa esto para los usuarios?
Se recomienda a los desarrolladores que descargaron el paquete durante la ventana de exposición que examinen sus sistemas en busca de una clave SSH sospechosa con el nombre svc-telemetry y que tomen medidas urgentes que incluyan el aislamiento de los dispositivos afectados, la rotación de secretos y cuentas de acceso, la revocación de sesiones activas y la reconstrucción completa del entorno de trabajo a partir de copias de seguridad seguras y confiables para garantizar que el sistema esté libre de cualquier residuo malicioso.