Los usuarios del editor de código respaldado por inteligencia artificial Cursor sufrieron un intento de ataque dirigido a las cadenas de suministro de software, mediante la inclusión de versiones maliciosas de la extensión Claude Code de Anthropic en la tienda dedicada del editor, las cuales permanecieron disponibles durante casi 11 horas antes de ser detectadas y eliminadas.
Según los datos técnicos, el incidente abarcó las versiones 2.1.312 y 2.1.313 de la extensión con el identificador anthropic.claude-code. El investigador de seguridad Kevin Beaumont estimó que el software malicioso pudo haberse distribuido a cerca de 5,000 sistemas de desarrolladores que operan en los entornos macOS y Windows antes de ser removido.
Mecanismo de ataque e intentos de espionaje
Los atacantes recurrieron a la inclusión de código en JavaScript que se ejecuta automáticamente en cuanto se cargan los paquetes de la extensión dentro del editor. La primera fase del ataque se centró en el reconocimiento del entorno de desarrollo mediante la recopilación de información confidencial sobre el sistema host, que incluyó:
- El nombre del dispositivo (Hostname), el nombre de usuario, el tipo de sistema operativo y su arquitectura.
- La ruta del directorio de trabajo actual (Working Directory).
- La dirección de correo electrónico registrada globalmente en la herramienta de control de versiones Git.
Los análisis, incluidos los observados por la empresa Microsoft, detallaron que el código intentó posteriormente instalar una clave SSH, habilitar un servidor SSH local en el dispositivo de la víctima y establecer un túnel de conexión inversa (Reverse SSH Tunnel) que permitiera a los atacantes sortear los cortafuegos, además de implantar archivos de inicio automático para garantizar la persistencia del acceso incluso tras reiniciar el sistema.
Fallo del ataque completo y medidas de respuesta
La administración de Cursor confirmó que el intento de los atacantes por controlar los sistemas a través del túnel SSH no se completó en la mayoría de los casos; puesto que la activación del servicio SSH local requiere privilegios de administración elevados (Admin/Root) de los que la extensión carece de forma predeterminada en la mayoría de los equipos macOS y Windows, lo que impidió a los atacantes finalizar el paso de inicio de sesión remoto.
Por su parte, Anthropic explicó a través de su ingeniero Felix Rieseberg que las copias falsas no fueron desarrolladas ni publicadas por la empresa, y tampoco se lanzaron en otras tiendas oficiales como Visual Studio Marketplace, Open VSX o el registro de NPM. Para evitar cualquier coincidencia en los números de versión, Anthropic elevó el número de su versión oficial directamente a 2.1.314.
Medidas de contención y acciones recomendadas para los desarrolladores
La plataforma Cursor se apresuró a eliminar las dos extensiones sospechosas y a suspender temporalmente la tienda para su revisión, además de rotar todas las claves de seguridad y reconstruir el entorno de la tienda antes de reabrirla, en paralelo con la coordinación con el proveedor de alojamiento en la nube para desactivar el servidor de comando y control utilizado por los atacantes.
La compañía recalcó que la simple desinstalación de la extensión del editor puede no ser suficiente para limpiar el sistema afectado, ya que la carga maliciosa crea scripts independientes para asegurar su persistencia dentro del sistema. Cursor proporcionó un script de análisis junto con los indicadores de compromiso (IoCs), recomendando aislar los dispositivos con sospecha de infección, eliminar las claves SSH no autorizadas, detener las rutas de túneles en ejecución y evaluar la necesidad de formatear el sistema por completo para garantizar la eliminación de cualquier rastro del software malicioso.