Cursor identifica extensão maliciosa não oficial do Claude Code que afetou até 5 mil usuários

O pacote Anthropic.claude-code 2.1.313 coletava informações do computador e do usuário, incluindo sistema operacional, diretórios, nomes de variáveis de ambiente, e-mail configurado no Git e IP público. A empresa já removeu a extensão. Usuários que instalaram o pacote devem procurar e remover a chave SSH identificada como "svc-telemetry" nos arquivos de chaves autorizadas. Apenas desinstalar a extensão pode não ser suficiente para resolver o problema. Abaixo, há um passo a passo elaborado pelo próprio Cursor com orientações para corrigir a vulnerabilidade.

---

Como verificar se sua máquina foi afetada

A extensão maliciosa adiciona a chave pública SSH do invasor, identificada como svc-telemetry, ao arquivo de chaves autorizadas do SSH (authorized_keys).

Para verificar se a chave está presente, execute o comando correspondente ao seu sistema operacional.

macOS

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Windows

Execute o comando abaixo no PowerShell:

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

Se a chave for encontrada, sua máquina foi afetada. Nesse caso, execute o script de remediação correspondente ao seu sistema operacional.

Como corrigir as máquinas afetadas

Os scripts abaixo removem a extensão maliciosa, os mecanismos de persistência, os processos de túnel em execução e a chave SSH do invasor.

Eles também retornam um código de saída diferente de zero caso algum desses elementos ainda permaneça na máquina após a execução.

macOS

1. Baixe o script de remediação para macOS.
2. Execute-o como o usuário afetado, e não como root, a partir da pasta onde o arquivo foi salvo.

bash remediate-macos.sh

Windows

1. Baixe o script de remediação para Windows.
2. Abra o PowerShell com a opção Executar como administrador.
3. Acesse a pasta onde o arquivo foi salvo e execute:

powershell -ExecutionPolicy Bypass -File .\remediate-windows.ps1