Uma versão adulterada da extensão Claude Code, da Anthropic, para o Visual Studio Code, disponível no marketplace de extensões do Cursor, instalou um backdoor de acesso remoto em máquinas de desenvolvedores, afirmaram pesquisadores de segurança. A versão maliciosa, 2.1.313, deu a invasores acesso manual e automatizado a notebooks e desktops infectados, em um caso que equivale a um ataque à cadeia de suprimentos.

A Phorion, empresa de segurança, foi a primeira a notar a atividade maliciosa nos endpoints e publicou um alerta. Kevin Beaumont, pesquisador de segurança que vem acompanhando o incidente, publicou depois consultas de caça (hunting queries) para o Microsoft Defender for Endpoint, que as organizações podem usar para procurar a versão maliciosa.

Quantos sistemas de desenvolvedores foram afetados pela extensão Claude Code adulterada?

A Cursor disse que a extensão foi atualizada automaticamente dentro do seu editor para a versão adulterada e que cerca de 5.000 sistemas de desenvolvedores foram impactados. Em comunicado próprio, a Anthropic afirmou: “Um agente mal-intencionado usou o acesso ao marketplace da Cursor para publicar uma extensão adulterada voltada aos usuários da Cursor; não tivemos participação na criação, publicação ou hospedagem disso.”

Beaumont questionou a forma como a Cursor descreveu o incidente. O blog da Cursor afirmou que a versão maliciosa “não foi desenvolvida pela Anthropic”. Beaumont apontou que a extensão foi enviada sob a conta verificada da Anthropic e argumentou que a palavra “desenvolvida” estava fazendo muito trabalho naquela frase. Ele observou que a Anthropic não escreveu o backdoor, mas que o incidente continua sendo um ataque à cadeia de suprimentos que atingiu usuários da Anthropic.

O que a extensão maliciosa do Claude Code fazia em máquinas infectadas?

De acordo com a análise de Beaumont, a extensão executava código que tentava instalar um backdoor SSH persistente. Ela coletava informações do host e do usuário, incluindo nome do host, nome de usuário, sistema operacional, arquitetura, caminho do diretório pessoal, nomes de variáveis de ambiente, diretórios de trabalho, o e-mail do Git configurado e o endereço IP público. Em seguida, tentava adicionar uma chave controlada pelo invasor aos authorized keys do sistema, habilitar o serviço SSH local e abrir um túnel SSH reverso. Beaumont escreveu que, fora de circunstâncias incomuns em que o Cursor fosse iniciado com privilégios de administrador, essa etapa falharia por causa de erros no código malicioso.

Mesmo assim, o código tentava tornar o túnel persistente. No macOS, usava um LaunchAgent. No Windows, tentava criar uma tarefa agendada que seria executada como SYSTEM, com um script de inicialização como alternativa. Scripts em segundo plano tentavam restabelecer o túnel aproximadamente a cada 60 segundos. O código também enviava detalhes do host e o status do backdoor para um servidor externo por meio de HTTP POST.

Atualizar para a versão 2.1.314 remove o backdoor?

A Anthropic substituiu depois a versão 2.1.313 pela 2.1.314. Beaumont disse que a nova versão aparentemente remove o backdoor, mas não tem certeza de que ela não contém código malicioso. Ele também afirmou que a atualização não remove o backdoor SSH de sistemas já infectados, nem as atividades de reconhecimento que o precederam.

A versão maliciosa desapareceu de vários marketplaces. Beaumont informou que a 2.1.313 não estava mais disponível no OpenVSX, no Visual Studio Marketplace e na Cursor. Ele também disse que a versão maliciosa foi removida silenciosamente e que a Anthropic não havia informado os clientes. Beaumont escreveu que a Anthropic não contou aos clientes sobre a violação.

Os desenvolvedores que instalaram a extensão são os mais expostos ao risco. Beaumont publicou indicadores de comprometimento de rede, incluindo hashes de arquivos dos pacotes para Mac e Windows, um endereço de túnel reverso e um endpoint de comando e controle na porta 8099. Ele também alertou que serviços públicos de consulta de IP, como ifconfig.me e ipify.org, são legítimos e que o acesso a eles, por si só, não é um indicador de comprometimento.

Este artículo fue escrito con la asistencia de IA.
News Factory APP - noticias agénticas para impulsar tu SEO y AEO.