Uma cópia adulterada da extensão do Claude Code, o assistente de programação da Anthropic, foi distribuída pela loja de extensões do editor Cursor na quinta-feira, 29 de outubro. Segundo o Cursor, até 5 mil desenvolvedores podem ter instalado a versão maliciosa, que ficou disponível por cerca de 11 horas, das 9h27 às 20h35 (UTC), ou 6h27 às 17h35 no horário de Brasília.
O que a extensão fazia
Pesquisadores da Phorion e do projeto OpenSourceMalware encontraram um carregador em JavaScript inserido no início do arquivo principal da extensão, a versão 2.1.313. O resto do código era o original, o que ajudava a disfarçar a alteração. O trecho rodava assim que a extensão era carregada, sem que o usuário precisasse usar o Claude Code.
De acordo com o BleepingComputer, o código malicioso:
- coletava nome de usuário, nome da máquina, IP público e o e-mail configurado no Git;
- listava os nomes de variáveis de ambiente ligadas a credenciais (sem copiar os valores);
- adicionava uma chave SSH do atacante, chamada svc-telemetry, e tentava ligar o SSH e abrir um túnel reverso;
- criava um mecanismo de persistência no macOS (LaunchAgent) ou no Windows (tarefa agendada ou script de inicialização), que tentava refazer o túnel a cada minuto;
- enviava tudo a um servidor do atacante.
Erros do atacante limitaram o estrago
Falhas no próprio código impediram o acesso remoto em muitas máquinas. No macOS, o comando que verificava o estado do SSH exigia privilégios de administrador e retornava erro, e o malware só ativava o SSH quando a resposta era "Off". No Windows, ele tentava iniciar o servidor OpenSSH por um interpretador que não existe numa instalação padrão. Segundo o The Register, o túnel normalmente falhava, mas os dados de reconhecimento eram enviados mesmo assim, e a chave e a persistência ficavam instaladas.
Cursor e Anthropic
O Cursor removeu a versão, bloqueou a distribuição e chegou a tirar toda a loja do ar para auditar outras extensões e trocar suas chaves de acesso. A empresa também trabalhou com o provedor de hospedagem para derrubar o servidor do atacante, e diz não ter encontrado outras versões afetadas. Relatos iniciais de que npm, Open VSX e a loja da Microsoft também distribuíram a cópia foram desmentidos: o Cursor foi a única origem.
A Anthropic negou ter sido invadida. Felix Rieseberg, da equipe técnica da empresa, disse ao The Register que o caso "não foi um comprometimento dos sistemas da Anthropic nem de notebooks de funcionários". A empresa afirma que não criou nem publicou a cópia e que seus canais oficiais não foram afetados.
O que fazer se você usa o Cursor
- Atualize a extensão para a versão 2.1.314 ou posterior, mas saiba que atualizar não remove a persistência.
- Procure, no arquivo de chaves autorizadas do SSH, uma chave chamada svc-telemetry, e verifique tarefas agendadas e itens de inicialização desconhecidos.
- Siga as instruções e os scripts de limpeza publicados pelo Cursor.
- Se a máquina foi afetada, isole-a, troque os segredos que ela acessava, encerre sessões abertas e reconstrua o ambiente a partir de um backup confiável.
O que ainda não se sabe
Nem o Cursor nem a Anthropic explicaram como o invasor conseguiu publicar a extensão em nome da Anthropic na loja oficial do Cursor. O número de 5 mil é a estimativa máxima do Cursor, não uma contagem confirmada de vítimas.
Fontes
- BleepingComputer — Malicious Claude Code extension on Cursor planted SSH backdoors (30/10/2026, em inglês)
- The Register — Anthropic: That Claude Code extension compromise… couldn't be us (30/10/2026, em inglês)
- Tecnoblog — Cursor diz que extensão falsa do Claude Code afetou até 5 mil usuários (30/10/2026)