Extensão falsa Claude Code infecta 5 mil PCs no Cursor hoje

Segurança Digital

Extensão adulterada do Claude Code causou infecção em milhares de computadores via marketplace do Cursor VS Code.

Leia também: Empresas lançam IA que detecta e corrige falhas em código hoje

Uma versão adulterada da extensão Claude Code ficou disponível por cerca de 11 horas no marketplace oficial do editor Cursor VS Code e pode ter atingido até 5.000 usuários, com tentativa de coleta de dados sensíveis e de configuração de acesso remoto às máquinas.

O que é a extensão Malicious Claude Code encontrada no marketplace da Cursor?

A extensão Malicious Claude Code é uma versão adulterada da extensão Claude Code que foi publicada no marketplace oficial do Cursor VS Code sem vínculo com a Anthropic, desenvolvedora do modelo Claude. Ela se fazia passar pela integração legítima de IA, mas tinha código incluído para espionagem e tentativa de controle remoto dos computadores onde era instalada.

Segundo a Cursor, a extensão foi disponibilizada nesta quinta-feira e permaneceu ativa por cerca de 11 horas, até ser identificada como maliciosa e removida. A empresa estima que até 5.000 usuários possam tê-la instalado nesse intervalo.

Quais dados estavam em risco devido à extensão Malicious Claude Code?

De acordo com a Cursor, a extensão “tentou coletar dados do usuário como hostname, nome de usuário, sistema operacional e endereço IP público”. Essas informações, combinadas, ajudam um atacante a mapear a máquina, o ambiente de rede e o perfil do usuário, facilitando ataques futuros ou tentativas de invasão direcionadas.

Não há indicação, até o momento, de que a extensão tenha acessado arquivos de código ou credenciais diretamente, mas os dados de sistema coletados já são considerados sensíveis do ponto de vista de segurança.

Como a extensão Malicious Claude Code tentou acessar remotamente dados dos usuários?

A extensão foi programada para tentar abrir uma porta de acesso remoto da máquina infectada para o atacante. A Cursor afirma que a extensão “também tentou configurar acesso remoto para o atacante, embora isso provavelmente não tenha funcionado na maioria das máquinas, pois requer privilégios de administrador”.

Na prática, o ataque dependia de a extensão conseguir permissões elevadas no sistema operacional. Em muitos computadores, especialmente em ambientes corporativos, essas permissões são restritas, o que reduz a chance de o invasor ter obtido controle total das máquinas. Ainda assim, a tentativa indica um esforço claro de transformar os dispositivos em pontos de acesso remoto sob comando do atacante.

Entenda o contexto

O incidente expõe fragilidades no processo de validação de extensões no marketplace do Cursor VS Code, que é usado por desenvolvedores para adicionar ferramentas de produtividade e integrações de IA ao editor. Extensões são, em geral, instaladas com alto nível de confiança pelos usuários, o que amplia o impacto potencial quando uma delas é comprometida.

A associação do nome Claude à extensão aumentou a confusão. A Cursor ressaltou que “Anthropic não teve envolvimento no desenvolvimento da extensão adulterada”, afastando qualquer ligação entre a fornecedora do modelo de IA e o código malicioso.

Como a Cursor identificou e removeu a extensão Malicious Claude Code do seu marketplace?

Depois de detectar o comportamento suspeito, a Cursor afirma que “após a descoberta, a Cursor retirou a extensão e suspendeu o marketplace, trabalhando com provedores para neutralizar o malware”. O marketplace de extensões do Cursor VS Code foi retirado do ar temporariamente como medida de contenção.

Com o serviço suspenso, a empresa trabalhou com seus provedores de infraestrutura para bloquear os componentes maliciosos usados pela extensão adulterada e verificar se havia outros complementos comprometidos. Após concluir essa varredura e “confirmar que não havia mais riscos”, o marketplace foi reativado. A Cursor diz que nenhuma outra extensão foi afetada.

Quais medidas os usuários devem tomar após a tentativa de roubo de dados pela extensão Malicious Claude Code?

Usuários que instalaram a extensão Claude Code no Cursor VS Code durante a janela de cerca de 11 horas em que a versão adulterada esteve disponível devem assumir a possibilidade de exposição de dados de sistema. A recomendação é remover imediatamente a extensão suspeita, atualizar o editor e o sistema operacional, e rodar uma varredura completa com ferramentas de segurança confiáveis.

Em ambientes corporativos, equipes de TI e segurança devem revisar logs de rede e de acesso em busca de conexões estranhas originadas das máquinas com Cursor VS Code instalado, além de reforçar políticas de privilégio mínimo para impedir que extensões obtenham direitos de administrador sem necessidade.

O caso tende a acelerar discussões no setor de desenvolvimento de software e segurança da informação sobre regras mais rígidas de publicação e auditoria de extensões em marketplaces oficiais, já que, mesmo em canais considerados confiáveis, códigos maliciosos podem escapar do controle.