Claude Code para Cursor: extensión 2.1.313 con puerta trasera SSH

El 29 de octubre de 2026, durante unas 11 horas, el marketplace de extensiones de VS Code de Cursor distribuyó una versión manipulada de la extensión Claude Code de Anthropic, la 2.1.313. Según el aviso de Cursor, recogido por BleepingComputer, la ventana fue de las 2:27 a las 13:35 hora del Pacífico (aproximadamente de 10:27 a 21:35 CET) y los usuarios afectados son 5.000 como máximo; la empresa los contactará directamente. El código malicioso intenta instalar una puerta trasera SSH persistente y envía al atacante un reconocimiento del equipo.

Cursor precisa que la versión maliciosa no fue desarrollada por Anthropic y que no tiene pruebas de que se vieran afectadas otras versiones de la extensión ni la distribución oficial. No se ha explicado cómo consiguió el atacante publicar el paquete a nombre de Anthropic.

Dónde se distribuyó

Al principio las fuentes no coincidían. Help Net Security escribió que la empresa de seguridad Phorion había encontrado el paquete en Open VSX, el marketplace de la Eclipse Foundation que usan los editores derivados de VS Code; en una actualización, sin embargo, recoge que Ax Sharma, de Manifold Security, niega que la versión de Open VSX estuviera comprometida. Según BleepingComputer, los primeros informes mencionaban también npm, Open VSX y el Visual Studio Marketplace de Microsoft, pero después se confirmó que la única fuente era el marketplace de Cursor.

Detalles técnicos

El análisis es de Phorion y OpenSourceMalware. Al principio de extension.js, el paquete minificado de la extensión, se añadió una función que se ejecuta de inmediato (IIFE); el resto del código es el legítimo. El fragmento carga los módulos de Node.js child_process, fs, os, path, http y crypto y se ejecuta en cuanto el editor carga el archivo, antes de la función normal activate: no hace falta usar Claude Code.

Una vez en marcha:

• añade una clave SSH del atacante al archivo authorized_keys del usuario, con la etiqueta svc-telemetry, e intenta activar el servicio SSH;
• abre una conexión SSH saliente hacia el servidor del atacante y crea un túnel inverso por el que el operador puede volver al equipo; el túnel sigue activo con el editor cerrado y se reintenta cada 60 segundos aproximadamente;
• se vuelve persistente: en macOS con un LaunchAgent con un nombre al estilo de Apple, en Linux con una entrada de cron que se ejecuta al arrancar, en Windows con una tarea programada llamada SysMon o, si falla, con un archivo en la carpeta Inicio;
• envía al servidor 134.209.82[.]225 el nombre del equipo, el usuario, el sistema operativo, las carpetas personal y de trabajo, el email de Git, la IP pública y el estado de la puerta trasera, además de los nombres (no los valores) de hasta 40 variables de entorno que parecen claves, tokens, contraseñas o credenciales de AWS y GCP.

El script no roba directamente las credenciales: según BleepingComputer, la intención parece ser recuperarlas a mano tras entrar por el túnel, y según Phorion la lista de variables le dice al operador qué equipos atacar primero.

Errores que limitan el daño. En macOS el malware consulta el estado de Remote Login con systemsetup -getremotelogin sin privilegios de administrador, recibe un error en lugar de «Off» y se salta la activación de SSH. En Windows intenta instalar el servidor OpenSSH con PowerShell a través de /bin/sh, que no existe en los sistemas estándar. Según Cursor, activar SSH requiere derechos de administrador que la extensión no tiene en la mayoría de los Mac y PC con Windows. Las fuentes no describen errores en Linux. Donde el servicio SSH ya estaba activo, o se activa más tarde, la puerta trasera funciona: Phorion advierte que el fallo no es una defensa.

Respuesta de Cursor. Retiró la versión, apagó el marketplace por precaución, revisó los accesos sin encontrar otras extensiones manipuladas, rotó sus claves y reconstruyó el servicio antes de reabrirlo. Con el proveedor cloud dejó fuera de línea el servidor del atacante, cortando el túnel y el envío de datos.

En nuestra lectura, las técnicas MITRE ATT&CK pertinentes son T1195.002 (Compromise Software Supply Chain), T1098.004 (SSH Authorized Keys), T1572 (Protocol Tunneling), T1543.001 (Launch Agent), T1053.003 (Cron), T1053.005 (Scheduled Task) y T1082 (System Information Discovery).

Impacto para las empresas europeas e italianas

Los equipos de los desarrolladores tienen acceso a repositorios, pipelines y entornos cloud: un acceso SSH interactivo a uno de ellos es una puerta de entrada privilegiada. Como observa Ax Sharma, de Manifold Security, comprobar el editor no sirve cuando el paquete aparece con el nombre legítimo, y cada vez más son agentes y actualizaciones automáticas, no personas, quienes instalan las extensiones: hay que vigilar el comportamiento, porque una extensión de programación que escribe claves SSH debería detectarse en segundos.

Para las entidades sujetas a NIS2, la seguridad de la cadena de suministro es una medida obligatoria: una instalación de la 2.1.313 en equipos con acceso a sistemas relevantes debe evaluarse como posible incidente, según lo que el operador pudiera alcanzar. El nombre de usuario, el email de Git y la IP enviados al atacante son datos personales de los empleados: hay que evaluar también la obligación de notificación del RGPD.

Qué hacer ahora

1. Identifica quién usa Cursor con la extensión Claude Code y quién instaló o actualizó a la 2.1.313 el 29 de octubre: desinstalar la extensión no elimina la puerta trasera, porque los scripts siguen activos.
2. Revisa authorized_keys en busca de la clave svc-telemetry, y la persistencia: LaunchAgents nuevos con nombres al estilo de Apple, entradas de cron al arrancar, la tarea programada SysMon, archivos en la carpeta Inicio. Cursor ha publicado los comandos de comprobación y scripts de limpieza para macOS y Windows; Cursor y Phorion han difundido indicadores de compromiso.
3. Busca en los registros conexiones de red hacia 134.209.82[.]225 y SSH saliente desde los equipos; en los registros SSH, como sugiere Phorion, accesos desde localhost con la clave svc-telemetry, señal de que un operador entró.
4. Si encuentras rastros, aísla el equipo, valora reconstruirlo y, desde un sistema de confianza, rota las credenciales y sesiones a su alcance, empezando por las de las variables de entorno enviadas.
5. Refuerza: SSH apagado en los equipos que no lo necesitan, SSH saliente permitido solo hacia destinos conocidos, actualizaciones de extensiones controladas en los entornos de desarrollo.

Cómo ayuda ARXDOME

Con su agente, ARX Sentry recoge el inventario de software y procesos de ordenadores y servidores Windows, Linux y macOS y controla la integridad de los archivos en las carpetas elegidas, como .ssh y las de los LaunchAgents: ayuda a encontrar los equipos afectados y a detectar claves y archivos de arranque nuevos. Los eventos se agrupan en familias como persistencia y ejecuciones sospechosas. Si un equipo está comprometido, ARX Shield permite aislarlo de la red hasta su reconstrucción.

Última actualización: 30 de octubre de 2026