El 29 de octubre de 2026, el marketplace de extensiones de Cursor distribuyó durante unas 11 horas una versión maliciosa de la extensión de Claude Code, la 2.1.313, que instala una puerta trasera por SSH en la máquina del desarrollador. Según el aviso de seguridad de Cursor, la recibieron como máximo 5.000 usuarios.
Cursor aclaró que esa versión «no fue desarrollada por Anthropic». La sacó del marketplace, bloqueó su distribución y trabajó con el proveedor de hosting para dar de baja el servidor del atacante.
Qué se distribuyó y a quién afecta
Cursor es un editor de código basado en VS Code, con funciones de IA, que tiene su propio marketplace de extensiones. La extensión de Claude Code permite usar el agente de programación de Anthropic dentro del editor.
La versión maliciosa estuvo disponible entre las 06:27 y las 17:35 de Argentina (2:27 a 13:35 PT). Los equipos con actualización automática de extensiones pudieron recibirla sin ninguna acción del usuario.
Según el análisis de OpenSourceMalware, el origen fue el marketplace de Cursor. En el paquete de npm @anthropic-ai/claude-code, en la extensión publicada en Open VSX y en la del marketplace de Microsoft no se encontró código malicioso. Anthropic publicó la versión 2.1.314 en Open VSX y en el marketplace de Microsoft.
Cómo funciona la puerta trasera
La versión maliciosa tiene 66 líneas agregadas al principio del archivo principal de la extensión (extension.js), antes del código legítimo. Se ejecutan cuando arranca el editor o se abre el panel de la extensión, sin necesidad de usar Claude. La extensión sigue funcionando con normalidad.
Esas líneas hacen cuatro cosas:
- Acceso por SSH: agregan una llave pública del atacante, con la etiqueta
svc-telemetry, al archivo~/.ssh/authorized_keysdel usuario. Con esa llave, el atacante puede iniciar sesión remota como ese usuario. - Túnel inverso: intentan habilitar el servidor SSH (en Windows, Linux y macOS) y abrir un túnel hacia
134.209.82.225, para llegar al equipo aunque esté detrás de un NAT o un firewall. - Persistencia: un LaunchAgent
com.apple.sysmonden macOS, una entrada@rebooten elcrontabde Linux y una tarea programadaSysMonen Windows, que siguen activos aunque se desinstale la extensión. - Reconocimiento: envían por HTTP sin cifrar a
134.209.82.225:8099/beaconla IP pública, el nombre del equipo, el usuario, el sistema operativo, el mail configurado en Git y los nombres (no los valores) de hasta 40 variables de entorno que contengan KEY, TOKEN, SECRET, PASS, AWS o GCP.
Cursor indicó que habilitar SSH requiere permisos de administrador, que la extensión en general no tiene en macOS ni en Windows, por lo que en esos sistemas el túnel probablemente no llegó a funcionar. La llave y la persistencia, en cambio, sí quedan instaladas. Hasta ahora no se observaron otras cargas maliciosas posteriores.
Qué tiene que revisar un equipo de IT
El primer paso es saber quién en la organización usa Cursor con la extensión de Claude Code y si tuvo instalada la 2.1.313. Para esos equipos, Cursor y OpenSourceMalware recomiendan:
- Buscar la llave: revisar
authorized_keysde cada usuario en busca desvc-telemetry(huellaSHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk). - Aislar antes de limpiar: si aparece, desconectar el equipo de la red y preservar evidencia antes de borrar nada.
- Bloquear en la red la IP
134.209.82.225en los puertos 22 y 8099, y buscar conexiones previas en los logs del firewall o del proxy. - Quitar la persistencia (LaunchAgent,
crontab, tarea programada) y los archivos en~/.config/.smt,~/.config/.smtky similares; Cursor publicó scripts para hacerlo. - Rotar credenciales accesibles desde ese equipo (nube, GitHub, VPN, sesiones), desde una máquina limpia.
- Evaluar reinstalar el equipo: OpenSourceMalware advierte que borrar los artefactos conocidos puede no alcanzar para volver a confiar en él.
Extensiones de editor como superficie de ataque
Una extensión de editor corre con los mismos permisos que el usuario: accede a los archivos, a las variables de entorno y a las sesiones abiertas. En una máquina de desarrollo eso suele incluir credenciales de nube, acceso a repositorios y conexión a producción.
No es el único caso reciente. El 19 de octubre, un atacante usó la cuenta robada de un colaborador de OVHcloud en GitHub para reemplazar los binarios de cinco versiones de su CLI por malware que roba secretos. Y Binance atribuyó el robo del 29 de octubre a la laptop comprometida de un ingeniero DevOps, sin precisar cómo fue comprometida (el MUG lo cubrió en esta nota).
Para reducir el riesgo hacia adelante, las medidas más directas son:
- Lista de extensiones permitidas: VS Code incluye desde la versión 1.96 la política
AllowedExtensions(extensions.allowed), que se despliega por MDM y define qué extensiones y qué versiones se pueden instalar (documentación oficial). Para otros editores basados en VS Code, conviene consultar al proveedor si ofrece un control equivalente. - Demora en las actualizaciones de extensiones en los equipos con acceso a producción: esta versión estuvo disponible unas 11 horas.
- Credenciales de vida corta en lugar de claves permanentes guardadas en archivos o en variables de entorno.
¿Saben qué extensiones corren hoy en las máquinas de su equipo?
¿Tienen un inventario de extensiones o una lista de permitidas? Te leemos en los comentarios.
Fuentes
- Cursor: Claude Code extension security notice (29/10/2026).
- OpenSourceMalware: Trojanized Claude Code extension plants persistent SSH backdoor.
- The Hacker News: Claude Code VS Code extension.
- Help Net Security: Claude Code extension poisoned with persistent SSH backdoor.
- Visual Studio Code: Manage extensions in enterprise environments.
- The Hacker News: OVHcloud CLI releases hijacked.
- Binance: aviso sobre el incidente de seguridad.
