Uma versão comprometida da extensão oficial Claude Code for VS Code, distribuída pelo Cursor Marketplace, instala um backdoor de SSH e mecanismos de persistência em macOS, Linux e Windows. A Phorion identificou a ameaça na versão 2.1.313; após a descoberta, o Cursor retirou a publicação do marketplace, e os pacotes correspondentes também foram removidos dos registros do NPM e do VS Code.

Organizações que tenham usado essa versão devem verificar os computadores afetados e considerar acionar equipes de resposta a incidentes. Remover a extensão, por si só, não elimina os arquivos e configurações maliciosos que ela pode ter criado.

O código adulterado foi inserido no início do arquivo extension.js e é executado assim que o módulo é carregado, antes da ativação normal da extensão. Como extensões operam com as permissões do editor e do usuário, o implante pode acessar arquivos locais, código-fonte e ferramentas de desenvolvimento sem exigir uma interação adicional.

No macOS, o malware acrescenta uma chave pública Ed25519 ao arquivo ~/.ssh/authorized_keys, permitindo que quem possua a chave privada correspondente tente acessar a conta por SSH. Em seguida, procura habilitar o Remote Login e cria um túnel reverso para o endereço 134.209.82[.]225. A conexão de saída pode permitir que um operador alcance o serviço SSH local da vítima, caso ele esteja ativo.

Há, porém, uma falha relevante na tentativa de ativar o SSH no Mac. O script consulta o estado do Remote Login sem privilégios administrativos e só tenta habilitá-lo se a resposta contiver “Off”. Em contas comuns, o comando systemsetup -getremotelogin pode retornar uma mensagem de falta de autorização — ainda assim com código de saída zero. Como a mensagem não corresponde a “Off”, o implante interpreta incorretamente que não precisa fazer nada.

Isso pode impedir o acesso remoto em máquinas onde o SSH esteja desativado, mas não torna a ameaça inofensiva: a chave e os mecanismos de persistência continuam instalados. Se o Remote Login já estiver habilitado ou for ativado posteriormente, o acesso pode se tornar possível.

Para manter a conexão, o código tenta usar autossh ou ssh em um ciclo de reconexão e configura persistência após reinicializações. No macOS, cria um LaunchAgent chamado com.apple.sysmond.plist em ~/Library/LaunchAgents e o associa a um script oculto em ~/.config/.smt. No Linux, usa uma entrada de cron; no Windows, tenta criar uma tarefa agendada como SYSTEM e, se não conseguir, recorre à pasta de inicialização do usuário. A análise também aponta falhas na lógica de ativação do SSH no macOS e na execução de comandos do PowerShell no Windows.

Além do túnel, o implante envia um relatório ao servidor controlado pelo atacante. O pacote inclui dados como nome do computador, usuário, sistema operacional, arquitetura, diretório pessoal, e-mail global do Git e endereço IP público. Também lista nomes de variáveis de ambiente que podem indicar a presença de credenciais — por exemplo, variáveis contendo KEY, TOKEN, SECRET, PASS, AWS ou GCP —, mas, segundo a análise, não envia os valores dessas variáveis.

A Phorion recomenda procurar alterações em ~/.ssh/authorized_keys feitas por processos do Cursor ou do VS Code, o arquivo com.apple.sysmond.plist e o script ~/.config/.smt. Outros sinais incluem processos ssh ou autossh usando encaminhamento remoto e conexões de saída para 134.209.82[.]225 na porta 22, além de requisições HTTP para a porta 8099.

Em caso de infecção, a resposta deve incluir o encerramento dos processos de túnel, a remoção dos arquivos de persistência e da chave associada ao comentário svc-telemetry, além da verificação do estado do Remote Login. Se houver indícios de acesso à máquina, é recomendável trocar credenciais e tokens disponíveis para a conta afetada.

A extensão comprometida tem o SHA-256 ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15. A Phorion também divulgou impressões digitais das chaves e indicadores de rede para apoiar a investigação. A falha de ativação do SSH reduz o alcance do ataque em algumas máquinas, mas a instalação silenciosa de persistência e a possibilidade de acesso posterior justificam uma análise cuidadosa de qualquer ambiente que tenha executado a versão 2.1.313.