Os usuários do editor de código alimentado por inteligência artificial Cursor foram alvo de uma tentativa de invasão direcionada às cadeias de suprimentos de software, por meio da inserção de versões maliciosas da extensão Claude Code, pertencente à empresa Anthropic, na loja dedicada do editor. A presença das extensões durou aproximadamente 11 horas antes de serem descobertas e removidas.
De acordo com os dados técnicos, o incidente abrangeu as versões 2.1.312 e 2.1.313 da extensão com o identificador anthropic.claude-code. O pesquisador de segurança Kevin Beaumont estimou que o software malicioso pode ter sido distribuído para cerca de 5.000 sistemas de desenvolvedores que operam nos ambientes macOS e Windows antes de sua remoção.
Mecanismo de ataque e tentativas de espionagem
Os invasores contaram com a inclusão de código JavaScript executado automaticamente assim que os pacotes da extensão eram carregados dentro do editor. A primeira fase do ataque concentrou-se no reconhecimento do ambiente de software por meio da coleta de informações confidenciais sobre o sistema hospedeiro, que incluíam:
- O nome do dispositivo (Hostname), nome de usuário, tipo de sistema operacional e sua arquitetura.
- O caminho do diretório de trabalho atual (Working Directory).
- O endereço de e-mail registrado globalmente na ferramenta de controle de versão Git.
As análises, incluindo aquelas monitoradas pela Microsoft, esclareceram que o código tentou em seguida instalar uma chave SSH, ativar um servidor SSH local no dispositivo da vítima e estabelecer um túnel SSH reverso que permitisse aos invasores burlar firewalls, além de implantar arquivos de inicialização automática para garantir a persistência da invasão mesmo após a reinicialização do sistema.
Falha na invasão completa e medidas de resposta
A administração do Cursor confirmou que a tentativa dos invasores de controlar os sistemas por meio do túnel SSH não foi concluída na maioria dos casos; visto que a ativação do serviço SSH local requer privilégios administrativos (Admin/Root) que a extensão não possui por padrão na maioria dos dispositivos macOS e Windows, impedindo os invasores de concluir a etapa de login remoto.
Por sua vez, a Anthropic esclareceu por meio de seu engenheiro Felix Rieseberg que as cópias falsas não foram desenvolvidas ou publicadas pela empresa, nem lançadas em outras lojas oficiais, como o Visual Studio Marketplace, Open VSX ou o registro NPM. Para evitar qualquer sobreposição nos números de versão, a Anthropic elevou o número de sua versão oficial diretamente para 2.1.314.
Medidas de contenção e o que os desenvolvedores devem fazer
A plataforma Cursor agiu rapidamente para remover as duas extensões suspeitas e suspender temporariamente a loja para revisão, além de rotacionar todas as chaves de segurança e reconstruir o ambiente da loja antes de reabri-la, paralelamente à coordenação com o provedor de hospedagem em nuvem para derrubar o servidor de comando utilizado pelos invasores.
A empresa enfatizou que a simples desinstalação da extensão do editor pode não ser suficiente para limpar o sistema comprometido, pois a carga maliciosa cria scripts independentes para estabelecer persistência dentro do sistema. O Cursor forneceu um script de verificação juntamente com os indicadores de comprometimento (IoCs), recomendando o isolamento de dispositivos com suspeita de infecção, a exclusão de chaves SSH não autorizadas, a interrupção de caminhos de túneis em execução e a avaliação da necessidade de reformatar o sistema por completo para garantir a eliminação de qualquer vestígio do software malicioso.