Una copia manipulada de Claude Code llega a 5.000 usuarios a través de la tienda de Cursor
Una versión alterada de la extensión oficial de Claude Code, la herramienta de programación con inteligencia artificial de Anthropic, permaneció durante unas 11 horas en la tienda de extensiones de Cursor. El incidente tuvo lugar el 29 de octubre y pudo afectar a hasta 5.000 usuarios de Windows y macOS.
Las versiones comprometidas intentaban instalar una puerta trasera en los equipos. Este tipo de mecanismo permite a un atacante mantener una vía de acceso remoto al sistema y ejecutar acciones sin que el usuario sea consciente. También recopilaban información básica del dispositivo, como el nombre del equipo, el usuario, el sistema operativo y la dirección IP pública.
El problema no se originó en los sistemas de Anthropic ni en el desarrollo de Claude Code, sino en el canal de distribución utilizado por algunos usuarios: la tienda de extensiones del editor Cursor.
Dos versiones manipuladas estuvieron disponibles durante 11 horas
Según la información publicada por Cursor, las versiones 2.1.312 y 2.1.313 estuvieron disponibles aproximadamente entre las 2:27 y las 13:35, hora del Pacífico, del 29 de octubre. Ambas estaban destinadas a Windows y macOS y se presentaban como copias de la extensión legítima de Claude Code.
La compañía calcula que pudieron llegar a unos 5.000 usuarios. El alcance se vio favorecido por una característica habitual de este tipo de plataformas: las extensiones se actualizan automáticamente por defecto. De este modo, un programa malicioso puede distribuirse rápidamente sin que el usuario tenga que descargarlo manualmente.
Cursor ha retirado las versiones afectadas y cerró temporalmente su tienda para revisar otras extensiones. También rotó sus claves de seguridad y consiguió que el servidor utilizado por el atacante dejara de estar operativo.
Qué intentaba hacer el código malicioso
La extensión manipulada trataba de añadir una clave de acceso al archivo de claves autorizadas de SSH. SSH es un protocolo utilizado para conectarse de forma segura a otros equipos, especialmente en entornos de desarrollo y servidores. Una clave añadida sin permiso puede servir para iniciar sesiones remotas sin necesidad de introducir una contraseña.
El código utilizaba la etiqueta svc-telemetry para identificar la clave introducida en el sistema. Además, intentaba abrir un túnel de comunicación con un servidor controlado por el atacante. Ese túnel habría permitido establecer una conexión desde el exterior hacia el equipo afectado.
La operación no funcionaba por completo en todos los dispositivos. La apertura del acceso remoto requería permisos de administrador que la extensión normalmente no tenía. Por este motivo, el paso que podía proporcionar acceso directo al atacante fallaba en la mayoría de los casos.
Sin embargo, otras partes del ataque sí podían ejecutarse. La extensión podía recopilar datos del equipo, insertar la clave SSH y crear mecanismos de persistencia. La persistencia es la capacidad de un programa para seguir activo después de reiniciar el ordenador o incluso después de cerrar la aplicación que lo instaló.
Por ello, desinstalar Claude Code o la propia extensión de Cursor no garantiza que el sistema quede limpio. El código podía dejar scripts independientes funcionando en segundo plano. En macOS, además, se ha identificado un fallo en el propio código malicioso que impedía abrir el acceso entrante si el acceso remoto del equipo no estaba activado previamente.
Cómo comprobar si un equipo está afectado
Los usuarios que instalaron o actualizaron Claude Code desde la tienda de Cursor durante el periodo señalado deberían revisar sus equipos, especialmente si utilizan el editor para trabajar con código sensible, credenciales o servidores remotos.
La comprobación principal consiste en buscar una clave SSH con la etiqueta svc-telemetry en el archivo de claves autorizadas del sistema. Si aparece, el equipo debe considerarse comprometido y requiere una limpieza más profunda.
Las recomendaciones de seguridad incluyen:
- Ejecutar la herramienta de limpieza proporcionada por Cursor.
- Eliminar la clave SSH desconocida y revisar los scripts creados recientemente.
- Revocar y sustituir las credenciales que pudieran estar disponibles en el equipo.
- Revisar los accesos a repositorios, servicios en la nube, servidores y cuentas de desarrollo.
- Valorar la reinstalación completa del sistema si se detectan indicios de persistencia o no es posible verificar la limpieza.
También conviene revisar los registros de actividad de las cuentas utilizadas desde el ordenador afectado. Cambiar las contraseñas desde otro dispositivo seguro puede ayudar a evitar que unas credenciales expuestas sigan siendo válidas.
Anthropic no habría sufrido una intrusión
Anthropic ha indicado que sus sistemas y los ordenadores de sus empleados no fueron comprometidos. La compañía sostiene que las versiones alteradas no fueron desarrolladas por ella y que los canales oficiales de Claude Code no resultaron afectados.
El atacante habría utilizado el acceso a la tienda de extensiones de Cursor para publicar la copia manipulada. Por ahora, no se ha explicado públicamente cómo obtuvo ese acceso. Ese punto será determinante para saber si se trató de un incidente aislado o si existe riesgo de que vuelva a ocurrir.
El riesgo está en la cadena de distribución
El caso demuestra que la seguridad de una herramienta no depende únicamente de su código original. También intervienen las tiendas de aplicaciones, los sistemas de actualización y los permisos concedidos a cada extensión.
Una extensión instalada en un editor puede operar con un nivel de acceso elevado, similar al del propio programa y al del usuario. Por eso, descargarla desde un canal aparentemente fiable no elimina todos los riesgos, especialmente cuando las actualizaciones automáticas están activadas.
La recomendación para los desarrolladores es instalar extensiones únicamente desde canales oficiales, comprobar el editor y el publicador antes de aceptar una actualización y mantener desactivadas las actualizaciones automáticas cuando se trabaje con herramientas críticas. En el ecosistema de la inteligencia artificial, donde los asistentes de programación acceden a repositorios y terminales, controlar el origen del software resulta tan importante como elegir el modelo de IA.
