Claude Code com backdoor no Cursor: veja se você caiu

Se você programa no Cursor e a extensão do Claude Code se atualizou sozinha nesta quinta-feira (29), vale parar dois minutos agora. Uma versão adulterada dela, a 2.1.313, ficou cerca de 11 horas na loja de extensões do editor e tentava instalar um backdoor SSH no computador de quem baixou. O próprio Cursor confirmou o caso e diz que até 5.000 pessoas foram afetadas.

A janela foi das 2h27 às 13h35 no horário do Pacífico, o que dá das 6h27 às 17h35 em Brasília. Ou seja, pegou o dia de trabalho inteiro por aqui. Quem acompanhou o caso do falso emulador de PS5 que roubava senhas pelo GitHub já conhece o roteiro, só que dessa vez o pacote veio da loja oficial e com o nome da Anthropic na capa.

O que aconteceu com a extensão

Quem levantou a lebre foi a empresa de segurança Phorion, que publicou um alerta detalhado sobre o pacote. Pouco depois, o Cursor soltou o aviso de segurança oficial, em que afirma que essa versão não foi desenvolvida pela Anthropic. A empresa tirou o pacote do ar, desligou o Marketplace inteiro por precaução, conferiu as outras extensões, trocou as próprias chaves e só então religou a loja.

O problema não ficou só no Cursor. A análise da StepSecurity mostra que a mesma 2.1.313 apareceu no Open VSX, o registro aberto que vários editores derivados do VS Code usam. O detalhe é que nos registros oficiais a numeração pula da 2.1.312 direto pra 2.1.314, e é essa última a versão limpa. A Anthropic ainda não comentou o caso.

O que o código malicioso faz no seu PC

Assim que roda, a extensão junta um retrato da máquina: nome do computador, usuário, sistema, pasta pessoal, o e-mail que você configurou no Git, o IP público e os nomes das variáveis de ambiente. Os valores ficam de fora, mas só a lista de nomes já conta ao atacante se você guarda chave da AWS, token do GitHub ou senha de banco ali.

Depois ele tenta montar a porta dos fundos. Coloca uma chave SSH do atacante, marcada com o comentário svc-telemetry, no seu arquivo authorized_keys, tenta ligar o serviço SSH do sistema e abre um túnel reverso até o servidor 134.209.82.225. Pra sobreviver a reinicializações, ele cria um LaunchAgent com cara de serviço da Apple (com.apple.sysmond) no Mac, uma tarefa agendada chamada SysMon no Windows e, segundo a Phorion, uma entrada de cron no Linux. Scripts em segundo plano tentam reabrir o túnel a cada minuto.

Tem um lado menos ruim nessa história. Ligar o SSH exige permissão de administrador, e a extensão quase nunca tem isso no Mac e no Windows, então na maioria das máquinas essa etapa falha e o atacante não consegue entrar pelo túnel. O Cursor também derrubou o servidor dele junto com o provedor de nuvem. Só que a chave, a persistência e o envio dos seus dados acontecem mesmo assim, e é por isso que a empresa pede pra seguir a limpeza de qualquer jeito.

Como checar se você foi afetado

O sinal mais fácil de achar é a chave do atacante. No Mac ou no Linux, abra o terminal e rode:

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "chave encontrada" || echo "nada encontrado"

No Windows, abra o PowerShell e cole o comando que o Cursor publicou, que olha tanto o arquivo do seu usuário quanto o dos administradores:

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

Se der “nada encontrado”, confira mesmo assim qual versão da extensão está instalada e atualize pra 2.1.314. Se a chave aparecer, sua máquina foi pega e o próximo passo é a limpeza.

O que fazer se a chave aparecer

Desinstalar a extensão não resolve, porque o pacote deixa scripts próprios que continuam rodando sem ela. O caminho que o Cursor indica começa por isolar a máquina da rede e rodar o script de remediação oficial, o remediate-macos.sh no Mac (como seu usuário, sem root) ou o remediate-windows.ps1 no Windows (com o PowerShell aberto como administrador). Os dois estão no aviso do Cursor, removem a extensão, a persistência, os túneis e a chave, e avisam se sobrou alguma coisa.

Aí vem a parte chata, que é trocar tudo que aquela máquina acessava. Tokens do GitHub, chaves de nuvem, senhas salvas no navegador, sessões abertas. Faça isso de outro computador, de preferência um que você confie, porque o malware não leu os valores das variáveis, mas o backdoor podia ter dado acesso a eles depois. Se o PC é do trabalho, chame o pessoal de TI antes de mexer, já que o Cursor também recomenda avaliar se vale reinstalar o sistema do zero.

Já que você vai refazer os acessos de qualquer jeito, aproveite pra colocar uma trava que senha vazada não abre. Uma chave física como a YubiKey 5C NFC funciona como segundo fator no GitHub, no Google e nos painéis de nuvem, e estava por R$ 662 na Amazon, com envio pela própria Amazon, quando conferi. Sem ela encostada no PC ou no celular, o login não passa, mesmo que alguém tenha sua senha. Quem lembra do vazamento de chaves de API do OpenCode sabe o tamanho da dor de cabeça que isso evita.

Extensão de navegador também entra nessa conta: um relatório recente achou centenas de extensões do Chrome que sequestram suas buscas sem pedir permissão nenhuma.

O que muda pra quem usa IA no editor

Esse ataque mira um público bem específico, gente que deixa um agente de IA ler o código, rodar comando e mexer em arquivo o dia todo. Quanto mais acesso a ferramenta tem, mais estrago faz uma versão adulterada dela. Já tinha acontecido algo parecido no caso do hacker que usou agentes de IA pra invadir 100 sites, só que ali a IA era a arma, e aqui ela virou a porta de entrada.

Pra quem quer seguir usando o Claude Code com mais tranquilidade, dá pra desligar a atualização automática de extensões no editor e conferir o número da versão antes de aceitar uma nova, principalmente quando ela aparece fora do padrão. Também ajuda não deixar chave de produção solta em variável de ambiente na máquina de desenvolvimento.

O Cursor diz que vai procurar cada pessoa afetada diretamente, e o contato pra dúvidas é security@cursor.com. Você usa o Claude Code no Cursor ou no VS Code? Já rodou o comando aí?

Imagem de capa: captura do título do aviso de segurança oficial do Cursor, via blog do Cursor

Recomendados pra você

GuiaREA: como testar a IA que desmonta qualquer programaO REA liga Claude Code, Codex e Cursor a Ghidra, Hopper e IDA pra entender apps sem código-fonte. Passou de 400 mil estrelas no GitHub. Veja como funciona, os riscos legais e como testar.DicaFoto feita por IA? Como checar no detector do GoogleO Google abriu pra todo mundo o SynthID Detector, que procura a marca d'água invisível de IA do Google, OpenAI, NVIDIA e Kakao em fotos, vídeos e áudios. Como usar de graça, o limite de 10 checagens por dia, a alternativa em português no Gemini e por que um resultado negativo não prova que a foto é real.DicaO que não contar pro ChatGPT (e como desligar o treino com seus dados)Você conta pro chatbot coisa que não contaria pro chefe. Veja o que nunca colar numa IA, onde fica o botão que desliga o treino no ChatGPT, Gemini e Claude, e o que esse botão não resolve.GuiaPhotoCraft: o clone grátis do Photoshop feito com IA já substitui a Adobe?O PhotoCraft é um clone open source do Photoshop em Rust feito com IA. Veja o que já funciona, o que falta, como instalar e se dá pra cancelar a Adobe.