Extensão falsa do Claude Code no Cursor: quem foi afetado e o que fazer

Se você programa e abriu o Cursor na quinta-feira (29), vale checar o computador hoje. Por quase um expediente inteiro, a loja de extensões do editor distribuiu uma cópia adulterada do Claude Code, o assistente de programação da Anthropic. Não era um app de nome parecido, e sim o pacote com o identificador oficial: com atualização automática, ele pode ter chegado sem um clique.

Linha do tempo: 11 horas de extensão adulterada no Cursor

Pelos horários do aviso, foram cerca de 11 horas; a Ars Technica arredondou para “quase 12 horas”.

Como a extensão do Claude Code foi adulterada e o que fazia

Ninguém explicou como o invasor publicou o pacote com o nome oficial. O Cursor diz que as versões maliciosas “não foram desenvolvidas pela Anthropic”. A Anthropic nega invasão dos próprios sistemas e diz que a 2.1.313 nunca saiu nos canais oficiais dela.

Segundo o Cursor e a Phorion, empresa de segurança que identificou o pacote, um carregador em JavaScript rodava assim que a extensão carregava, sem o usuário abrir o chat. Ele:

• enviava ao invasor o nome da máquina e do usuário, o sistema, as pastas, o e-mail do Git e o IP público;
• listava até 40 nomes de variáveis de ambiente com cara de senha ou token, sem os valores;
• gravava a chave SSH svc-telemetry, instalava itens de inicialização e tentava abrir um túnel de acesso remoto a cada 60 segundos.

Ligar o SSH exige permissão de administrador, e o código tinha erros. Segundo o Cursor, a invasão só seria viável em quem abriu o editor como administrador; a Phorion inclui quem já tinha o acesso remoto ligado. Mesmo assim, a chave foi gravada e os dados, enviados.

“Um agente malicioso usou acesso ao marketplace do Cursor para publicar uma cópia adulterada da extensão do Claude Code, que não criamos nem publicamos.”

— Felix Rieseberg, da equipe técnica da Anthropic, no X

O Cursor, que pertence à SpaceX, trocou as próprias chaves, reconstruiu a loja e, com o provedor, tirou do ar o servidor do invasor. Diz não ter achado outras extensões adulteradas e promete contatar os afetados.

Quem pode ter sido afetado

Entra na conta quem usou o Cursor no Windows ou no macOS e instalou ou atualizou a extensão Claude Code para a 2.1.312 ou a 2.1.313 no dia 29, entre 6h27 e 17h35. O código também tinha rotina para Linux, segundo a Phorion. Ficam de fora a loja da Microsoft no VS Code, o Open VSX e o Claude Code de terminal, instalado pelo npm.

Fui afetado? O que fazer, passo a passo

1. Confira a versão da extensão Claude Code no painel de extensões do Cursor.
2. Procure a chave do invasor. No macOS, o Cursor indica este comando no Terminal:

   grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

   No Windows, o aviso traz um script de PowerShell que procura a chave em %USERPROFILE%\.ssh\authorized_keys e C:\ProgramData\ssh\administrators_authorized_keys.

3. Se a chave aparecer, isole a máquina e não a use para acessar sistemas da empresa.
4. Rode os scripts oficiais de limpeza (remediate-macos.sh e remediate-windows.ps1), baixados só do aviso do Cursor: no Mac, como o usuário afetado, não como root; no Windows, como administrador.
5. Troque senhas, tokens e chaves que a máquina alcançava, como GitHub, nuvem e npm, usando outro dispositivo confiável.
6. Atualize para a 2.1.314 ou superior, sabendo que isso não limpa uma máquina já infectada.
7. Na dúvida, reinstale o sistema. O Cursor sugere considerar a reconstrução da máquina.

Apps falsos de IA: a campanha Yoba e como reconhecer um falso

Na mesma semana, a Check Point Research revelou a Yoba: páginas no GitHub com supostos apps de computador do ChatGPT, da OpenAI, e do Claude, como “GPT-6 Astra” e “Claude Opus”, bem posicionadas no Google. O ZIP trazia o instalador verdadeiro, assinado pela OpenAI ou pela Anthropic, e ao lado uma DLL maliciosa que ele carrega ao abrir.

Com permissão de administrador, a praga instala o minerador de criptomoedas XMRig e pode baixar outros programas. OpenAI e Anthropic não foram invadidas; os golpistas exploram “a credibilidade associada a essas marcas”, escreveu Eli Smadja, da Check Point. Como se proteger:

• Baixe só do site oficial. Aparecer no topo do Google ou estar no GitHub não garante segurança, lembra o TechTudo.
• Assinatura digital válida não prova que o pacote é limpo. Na Yoba, o problema era o arquivo ao lado do instalador.
• Restrinja permissões de administrador, como recomenda a Check Point.
• Em extensões, o publicador não basta. “Checar o nome do publicador não ajuda quando o publicador é real”, disse Ax Sharma, chefe de pesquisa da Manifold Security, ao Help Net Security. “O que ajuda é observar o comportamento.”

E no Brasil?

A janela de 6h27 às 17h35 cobriu quase todo o horário comercial no Brasil, e o Cursor não informou quantos dos até 5 mil afetados estão no país.

Sobre a Yoba, a Check Point não confirmou vítimas brasileiras, segundo o TechTudo. Mas a isca é global: de janeiro ao início de maio deste ano, a Kaspersky contou mais de 92 mil ataques com malware disfarçado de serviço de IA, 49% deles imitando o ChatGPT. O levantamento não traz números por país.

Para empresas, entra a LGPD. Se a máquina de um desenvolvedor dava acesso a dados de clientes e houver incidente confirmado com risco ou dano relevante aos titulares, a Resolução CD/ANPD nº 15/2024 manda comunicar a ANPD e as pessoas afetadas em até três dias úteis.

Perguntas rápidas

Como saber se o Cursor instalou a extensão falsa do Claude Code?

Rode o comando do aviso do Cursor, que procura a chave svc-telemetry. Se ela não aparecer, o próprio comando indica máquina não afetada.

Desinstalar a extensão do Claude Code resolve?

Não. Os scripts de persistência continuam rodando, avisa o Cursor. Use a limpeza oficial e troque suas credenciais.

Os apps “GPT-6 Astra” e “Claude Opus” para Windows são oficiais?

Os que a Check Point achou no GitHub, não: eram iscas da Yoba. Baixe apps de IA só nos canais oficiais das empresas.

Veja também

• IPO da Anthropic: o que o prospecto revela sobre a dona do Claude
• OpenAI: novas restrições para adolescentes, relatório de segurança e Model Spec
• Relatório: como agentes de IA invadiram a Hugging Face