Usa o Claude Code no Cursor? Desinstalar a extensão falsa pode não chegar

Uma versão adulterada da extensão Claude Code esteve à venda, por assim dizer, na loja de extensões do editor Cursor durante cerca de 11 horas. Foi distribuída com o identificador legítimo anthropic.claude-code e tentava instalar uma porta das traseiras SSH persistente nos computadores de quem programa. Segundo o aviso de segurança da Cursor, entre cerca das 2h27 e as 13h35 (hora do Pacífico) de 29 de outubro, uma versão maliciosamente modificada da extensão foi disponibilizada no Cursor VS Code Extension Marketplace, o que corresponde aproximadamente ao período entre as 9h27 e as 20h35 em Lisboa. A empresa avisa que remover a extensão não basta para limpar o sistema.

O que aconteceu

O Cursor é um editor de código com inteligência artificial construído sobre o VS Code, mas tem um marketplace de extensões próprio. Foi por aí que chegou o ataque. O incidente envolveu cópias adulteradas das versões 2.1.312 e 2.1.313 distribuídas através do VS Code Extension Marketplace do Cursor para macOS e Windows, com o identificador legítimo da extensão. Por isso, quem tinha atualizações automáticas ativas pode ter recebido a versão maliciosa sem fazer nada.

A Cursor estima que o número de afetados é limitado, mas não desprezável. Num comunicado citado pela imprensa especializada, a empresa referiu um incidente que afetou “no máximo 5.000 utilizadores”. A Anthropic, que desenvolve o Claude Code, recusa qualquer responsabilidade pela versão adulterada: segundo a empresa, um ator malicioso usou o acesso ao marketplace do Cursor para publicar uma cópia adulterada da extensão, que a Anthropic não construiu nem publicou.

A Microsoft também analisou o caso. Num artigo da sua equipa de Threat Intelligence, a empresa confirmou que os pacotes maliciosos nunca foram publicados nem distribuídos a partir do Microsoft Visual Studio Marketplace nem do pacote npm @anthropic-ai/claude-code, e acrescentou que a Anthropic lhe confirmou que os seus sistemas não foram comprometidos. Ainda não se sabe como foi feita a intrusão: nem a Cursor nem a Anthropic revelaram como é que o atacante obteve acesso.

Como funcionava o código malicioso

A análise técnica mais detalhada é da plataforma comunitária OpenSourceMalware. Segundo os investigadores, a extensão era igual à legítima exceto num ficheiro, o extension.js, que tinha “um carregador malicioso de 66 linhas inserido antes do código legítimo da extensão”. Bastava abrir o editor para o código correr: assim que a extensão carregava, sem ser preciso iniciar uma conversa com o Claude, o novo ficheiro entrava em ação.

A cadeia de ataque tinha várias fases. O código adiciona uma chave controlada pelo atacante à configuração SSH do utilizador, tenta ativar o serviço SSH local, estabelece um túnel reverso para 134.209.82.225, instala persistência específica de cada plataforma e transmite dados de reconhecimento do sistema através de um beacon HTTP não cifrado. Segundo a Cursor, scripts em segundo plano voltam a tentar abrir o túnel cerca de 60 em 60 segundos.

O túnel SSH reverso é especialmente perigoso porque permite a um atacante remoto ligar-se ao equipamento infetado mesmo que exista uma firewall ou tradução de endereços (NAT). Há, no entanto, uma atenuante. A Cursor explicou que, devido a erros no código malicioso, este passo falharia, exceto em circunstâncias muito invulgares em que o Cursor fosse iniciado com privilégios de administrador. A Microsoft deixa um aviso: mesmo assim, o malware podia tentar plantar a sua chave SSH, estabelecer persistência e reportar informação do sistema.

Cronologia do incidente

A Cursor diz que não encontrou outras extensões maliciosas, rodou todas as chaves e reconstruiu e reabriu o marketplace. Além disso, trabalhou com o fornecedor de alojamento para desligar o servidor do atacante. Do lado da Anthropic, a versão legítima da extensão foi atualizada diretamente para a 2.1.314.

Indicadores de comprometimento

Não foi atribuído nenhum identificador CVE nem pontuação CVSS, porque não se trata de uma vulnerabilidade de software, mas sim de um comprometimento da cadeia de distribuição. Os indicadores abaixo foram publicados pela Cursor e confirmados por várias equipas de investigação.

Segundo o aviso da Cursor, a forma mais simples de detetar o problema é procurar no disco: o ficheiro extension.js das versões 2.1.312 e 2.1.313, tanto para Darwin como para Windows, contém 134[.]209[.]82[.]225 e svc-telemetry.

O que fazer se instalou a extensão

A Cursor sublinha que desinstalar a extensão pode não ser suficiente, porque o código deixa scripts de persistência autónomos que continuam a correr. A atualização para a 2.1.314 também não resolve: o investigador Kevin Beaumont notou que as versões de substituição “não removem as backdoors anteriores”. Os passos recomendados pelas fontes consultadas são estes:

• Procure na pasta de extensões do Cursor diretórios anthropic.claude-code-2.1.312* ou anthropic.claude-code-2.1.313* e verifique se o extension.js contém as strings indicadas.
• Se houver sinais de execução, isole a máquina da rede e guarde as evidências forenses antes de limpar. A OpenSourceMalware recomenda remover a extensão e a persistência apenas depois de recolher as evidências.
• Bloqueie 134.209.82.225 nas portas 22 e 8099 e procure ligações históricas a esse endereço nos registos de rede.
• Remova a chave svc-telemetry do authorized_keys, os mecanismos de persistência e os processos de túnel ativos. A Cursor disponibilizou scripts de limpeza para cada plataforma.
• A partir de um sistema de confiança, rode as credenciais e termine as sessões a que a máquina tinha acesso (tokens Git, chaves de API, segredos de cloud).
• Pondere reinstalar o equipamento. A Cursor recomenda avaliar se o anfitrião deve ser reconstruído.

As organizações com Microsoft Defender podem usar as consultas de advanced hunting publicadas pela Microsoft para identificar sistemas onde os utilizadores instalaram ou atualizaram automaticamente a extensão anthropic.claude-code nas versões 2.1.313 e 2.1.312 através do Cursor Extension Marketplace.

Porque é que isto importa em Portugal

Os computadores de quem programa estão entre os ativos mais sensíveis de qualquer organização, porque guardam código-fonte, credenciais de cloud, chaves de acesso a repositórios e ligações a ambientes de produção. A empresa Phorion lembra que as extensões correm com as permissões do ambiente de desenvolvimento e dos utilizadores que o abrem, pelo que uma backdoor numa extensão dá acesso imediato a ficheiros locais, código-fonte e ferramentas de desenvolvimento. Assistentes de programação com IA como o Claude Code e o Cursor tornaram-se comuns em PME tecnológicas e em equipas de desenvolvimento portuguesas, o que alarga a superfície de ataque.

Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), este caso mostra bem por que razão a segurança da cadeia de abastecimento é uma das medidas obrigatórias de gestão de risco. Isso inclui inventariar as ferramentas e extensões usadas pelas equipas técnicas, controlar as atualizações automáticas e preparar a resposta a incidentes. Se uma máquina comprometida tiver acesso a dados pessoais, também pode ser preciso avaliar as obrigações de notificação previstas no RGPD. Os incidentes com impacto significativo devem ser comunicados ao CNCS/CERT.PT, de acordo com os procedimentos aplicáveis.

Perguntas frequentes

Quem usa o Claude Code no VS Code da Microsoft foi afetado?

Não. Segundo a Microsoft, as versões maliciosas nunca foram distribuídas pelo Visual Studio Marketplace nem pelo pacote npm @anthropic-ai/claude-code. O problema limitou-se ao marketplace próprio do Cursor.

Basta atualizar para a versão 2.1.314?

Não. A atualização substitui a extensão, mas não remove a chave SSH plantada nem os scripts de persistência, que continuam a funcionar fora da extensão. Esses elementos têm de ser removidos à mão ou com os scripts de limpeza da Cursor.

Como sei se a minha máquina foi comprometida?

Verifique se instalou ou atualizou a extensão no Cursor a 29 de outubro, procure as pastas das versões 2.1.312 ou 2.1.313, pesquise no extension.js as strings 134.209.82.225 e svc-telemetry, e confirme se o ficheiro authorized_keys tem uma chave com o comentário svc-telemetry.

Já se sabe quem está por trás do ataque?

Não. Até agora, nem a Cursor nem a Anthropic revelaram como o atacante obteve acesso ao marketplace, e não houve qualquer atribuição pública a um grupo específico.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Cursor, pela Microsoft Threat Intelligence, pela OpenSourceMalware e pela StepSecurity.