Claude Code en Cursor: una copia maliciosa llevaba una puerta trasera

Una versión manipulada de la extensión Claude Code de Anthropic fue distribuida a través del mercado de extensiones de Cursor con código capaz de intentar instalar una puerta trasera SSH persistente en el ordenador. Cursor calcula que los paquetes pudieron llegar como máximo a unos 5.000 usuarios antes de ser retirados, mientras la infraestructura empleada por los atacantes terminó desactivada.

El matiz es fundamental: no hay pruebas de que Anthropic comprometiera su extensión oficial ni sus sistemas. El incidente se produjo en el marketplace de Cursor, donde aparecieron copias modificadas identificadas como las versiones 2.1.312 y 2.1.313 para macOS y Windows. Esos paquetes no fueron publicados por Anthropic.

Qué ocurrió con Claude Code en el marketplace de Cursor

Los paquetes maliciosos estuvieron disponibles el 29 de octubre de 2026 durante aproximadamente once horas. En ese intervalo, una instalación o actualización de Claude Code realizada desde el marketplace de Cursor podía descargar una versión modificada sin que el usuario tuviera por qué percibir nada extraño.

Los atacantes no sustituyeron la extensión por una aplicación evidentemente falsa. Claude Code seguía funcionando, pero su archivo principal incluía código añadido que podía ejecutarse al cargarse la extensión. No hacía falta mantener una conversación con Claude ni activar una función determinada: iniciar el complemento podía ser suficiente.

Ese método encaja con un ataque a la cadena de suministro de software. Una extensión de un entorno de desarrollo trabaja cerca del código fuente, del terminal, de repositorios y, con frecuencia, de credenciales utilizadas por los programadores. Manipular el paquete antes de que llegue al usuario permite aprovechar precisamente esa confianza.

La puerta trasera intentaba mantener acceso remoto al equipo

El código insertado trataba de añadir una clave pública controlada por los atacantes al archivo de claves autorizadas de SSH. La entrada aparecía acompañada por el nombre aparentemente rutinario svc-telemetry, una denominación bastante menos alarmante que lo que pretendía hacer.

Después, el malware intentaba activar el servicio SSH del sistema y establecer un túnel inverso hacia un servidor externo. El objetivo era dejar preparado un canal que pudiera permitir a los atacantes regresar al ordenador y controlarlo de forma remota.

También existían mecanismos pensados para sobrevivir al cierre de Cursor y a los reinicios. En macOS se utilizaba un LaunchAgent, mientras que en Windows el código intentaba crear una tarea programada y recurría, como alternativa, a la carpeta de inicio. Los procesos podían volver a intentar la conexión de forma periódica.

Por eso, desinstalar Claude Code no basta necesariamente para limpiar un ordenador que haya ejecutado el paquete manipulado. La extensión podía haber dejado claves SSH y mecanismos de persistencia fuera de su propio directorio.

Los errores del malware limitaron parte del ataque

La implementación tenía fallos que redujeron el alcance práctico de la puerta trasera. En macOS, el código intentaba comprobar y activar funciones de acceso remoto mediante operaciones que necesitaban privilegios administrativos. Ejecutadas como un usuario normal, podían fallar y dejar SSH sin activar.

En Windows también se detectaron problemas en la forma utilizada para poner en marcha OpenSSH. Según la investigación del incidente, salvo en situaciones poco habituales —por ejemplo, ejecutar el editor con permisos elevados—, el acceso SSH debía fallar en buena parte de los ordenadores.

Eso no convierte el episodio en inocuo. Aunque la conexión remota no llegara a funcionar, el paquete podía haber añadido la clave del atacante, instalado persistencia y recopilado información del sistema. Una puerta trasera mal programada sigue siendo una puerta trasera.

Qué información podía recopilar la extensión manipulada

El código malicioso obtenía datos como el nombre del ordenador, usuario, sistema operativo, arquitectura, directorio personal, directorio de trabajo, correo configurado en Git e IP pública. Son datos útiles para identificar el equipo y perfilar a la persona que lo utiliza.

También buscaba nombres de variables de entorno asociadas habitualmente a credenciales, con términos como KEY, TOKEN, SECRET, PASS, AWS o GCP. Los análisis realizados sobre el código indican que esa primera recopilación incluía los nombres de las variables, no necesariamente sus valores.

Aun así, saber que un equipo utiliza determinadas variables relacionadas con AWS, Google Cloud, tokens o claves API puede ayudar a seleccionar objetivos especialmente interesantes. Si el acceso SSH hubiese quedado operativo, el atacante habría podido intentar ir bastante más lejos desde el propio ordenador comprometido.

El servidor empleado para recibir las comunicaciones fue posteriormente desconectado. Con esa infraestructura fuera de servicio, tanto el túnel inverso como el envío de información hacia ese destino dejaron de funcionar.

Quién debe revisar su ordenador y qué versiones están afectadas

El aviso afecta especialmente a quienes instalaron o actualizaron anthropic.claude-code desde el marketplace de Cursor el 29 de octubre. La investigación identificó como manipulados determinados paquetes presentados como las versiones 2.1.312 y 2.1.313 para Windows y macOS.

Esto no significa que cualquier copia de Claude Code 2.1.312 sea maliciosa. Anthropic publicó legítimamente esa versión antes del incidente. El problema estaba en las copias alteradas que circularon a través del canal de Cursor. Posteriormente, Anthropic publicó también la versión oficial 2.1.314.

Uno de los indicios más claros es encontrar svc-telemetry entre las claves SSH autorizadas. También conviene revisar si existen mecanismos de persistencia creados durante la infección. Un equipo con evidencias de ejecución del malware debería tratarse con cautela y aislarse mientras se comprueba su estado.

Las credenciales, tokens y sesiones que hayan estado accesibles desde una máquina afectada pueden requerir renovación desde otro dispositivo de confianza. Cuando existen indicios sólidos de compromiso, reconstruir completamente el sistema puede ser más seguro que confiar únicamente en eliminar los archivos visibles.

Anthropic no distribuyó los paquetes maliciosos

Parte de la confusión inicial nació de que la extensión aparecía identificada con el nombre legítimo anthropic.claude-code. A primera vista, eso podía sugerir que los sistemas de Anthropic o la distribución oficial de la extensión habían sido comprometidos.

La investigación posterior situó el incidente en el marketplace de Cursor. Las primeras informaciones que relacionaban el problema con Open VSX fueron posteriormente corregidas y tampoco existen pruebas de que la copia distribuida normalmente a través del Marketplace oficial de Microsoft incluyera esa puerta trasera.

Cursor cerró temporalmente su mercado de extensiones mientras investigaba lo sucedido, auditó accesos, rotó claves y reconstruyó el servicio antes de volver a ponerlo en funcionamiento. La compañía sostiene que durante esa revisión no encontró otras extensiones manipuladas.

Sigue quedando una incógnita relevante: cómo lograron los atacantes introducir los paquetes modificados bajo la identidad de Claude Code dentro del canal de Cursor. El alcance técnico del incidente se conoce bastante mejor que el mecanismo exacto utilizado para colocar allí las versiones maliciosas.

El aviso que deja el ataque a Claude Code

El episodio vuelve a recordar que una extensión del editor no es un complemento menor. Puede ejecutarse con los permisos del usuario, acceder a archivos locales, convivir con repositorios privados y encontrarse a pocos pasos de credenciales especialmente valiosas. En un ordenador de desarrollo, ese acceso puede ser considerable.

Las actualizaciones automáticas añaden otro riesgo: un programa legítimo puede convertirse en vehículo de ataque si alguien logra manipular el paquete distribuido desde un marketplace. El usuario sigue viendo la misma aplicación, con el mismo nombre y prácticamente el mismo funcionamiento. Por debajo, la situación puede ser muy distinta.

En este caso, la infraestructura atacante está fuera de servicio, el número máximo comunicado ronda los 5.000 usuarios potencialmente expuestos y varios errores del propio malware habrían impedido que el acceso remoto funcionara completamente en buena parte de los equipos. Pero quienes recibieron las versiones alteradas no deberían limitarse a comprobar que Claude Code vuelve a abrir con normalidad: precisamente uno de los riesgos era que la extensión siguiera funcionando mientras el código malicioso operaba en segundo plano.