Cursor: marketplace distribuiu Claude Code 2.1.312 e 2.1.313 com loader que tenta instalar chave SSH e persistência

Se você usa o Cursor e instalou ou atualizou a extensão Claude Code em 29 de outubro de 2026, vale conferir a máquina hoje. A Cursor informou que seu marketplace serviu versões adulteradas da extensão, e apagar a extensão não remove o que ela deixou para trás.

O que aconteceu

Segundo o aviso da Cursor, publicado em 29 de outubro e atualizado em 30 de outubro, as versões 2.1.312 e 2.1.313 da extensão anthropic.claude-code ficaram disponíveis no marketplace do Cursor entre aproximadamente 2h27 e 13h35 PDT de 29 de outubro (9h27 às 20h35 GMT, conforme o Hackread). O aviso cita Windows e macOS.

Os pacotes mantinham a identidade legítima da extensão e o binário genuíno empacotado. A diferença, de acordo com a análise da OpenSourceMalware sobre a versão 2.1.313, era um loader malicioso de 66 linhas inserido antes do código JavaScript normal, no arquivo extension.js.

A Microsoft investigou separadamente e confirmou que os pacotes maliciosos não foram distribuídos pelo Visual Studio Marketplace nem pelo pacote npm do Claude Code. A Anthropic disse à Microsoft que seus sistemas não foram comprometidos e que ela não desenvolveu o pacote malicioso.

Como o loader funcionava

A OpenSourceMalware relatou que o loader rodava quando a extensão era ativada após a inicialização do editor ou quando a webview dela era aberta. Ou seja, bastava ter o Cursor aberto com a extensão instalada.

Segundo os pesquisadores, o código coletava informações do host e do usuário e depois tentava três coisas: adicionar uma chave SSH controlada pelo atacante, habilitar o SSH e criar um túnel reverso. Esse túnel permite acesso remoto à máquina quando os serviços e permissões necessários existem.

A Cursor afirma que erros no código e a exigência de permissões administrativas bloquearam o acesso SSH na maioria das máquinas Windows e macOS. Mesmo assim, o pacote ainda podia deixar uma chave SSH não autorizada, arquivos de inicialização e dados do dispositivo enviados ao atacante. Um túnel que falhou, portanto, não significa que não há o que limpar.

Persistência fora da pasta da extensão

A Microsoft identificou mecanismos de persistência fora do diretório de instalação da extensão:

• um LaunchAgent no macOS;
• uma tarefa agendada do Windows chamada SysMon;
• um script de fallback na pasta Startup do Windows.

A análise da Microsoft distingue o que o código tentou fazer do que os investigadores conseguiram confirmar em cada máquina. Por isso, a checagem local importa.

O que conferir

1. Veja se você teve a extensão Claude Code instalada pelo Cursor e qual versão. Se tiver a CLI do editor no PATH, este comando lista as extensões com versão:

cursor --list-extensions --show-versions

2. Procure chaves SSH que você não reconhece. No macOS e no Linux, revise o arquivo de chaves autorizadas:

cat ~/.ssh/authorized_keys

3. No macOS, liste os LaunchAgents do usuário e procure itens que você não criou:

ls ~/Library/LaunchAgents

4. No Windows, verifique se existe a tarefa agendada SysMon e olhe o conteúdo da pasta Startup:

schtasks /query /tn SysMon

5. Verifique se o serviço SSH está habilitado na máquina sem que você tenha ligado.

Remediação

A Cursor orienta seguir as instruções oficiais de detecção e remediação do aviso, remover a chave SSH não autorizada e os arquivos de persistência, e rotacionar as credenciais acessíveis a partir de um computador confiável, não da máquina afetada. A empresa oferece scripts de limpeza separados para Windows e macOS e recomenda avaliar se as máquinas afetadas precisam ser reconstruídas.

Para a rotação, pense no que estava acessível naquela estação: chaves SSH privadas, tokens de Git, credenciais de nuvem e variáveis de ambiente de projetos.

Pontos em aberto

O aviso inicial da Cursor falava em no máximo 5.000 usuários afetados. Esse número foi removido da versão atualizada, que também passou a incluir a versão 2.1.312 além da 2.1.313. Sem o número, não dá para estimar o alcance. Quem instalou ou atualizou a extensão na janela informada deve tratar a máquina como potencialmente afetada até verificar.

A Cursor fechou o marketplace temporariamente, rotacionou chaves, reconstruiu a plataforma antes de reabri-la e trabalhou com o provedor de hospedagem para tirar do ar o servidor do atacante. Os indicadores de comprometimento e os scripts de limpeza estão no aviso oficial e na análise da OpenSourceMalware, que devem ser a referência para a checagem.

Fontes: Hackread