Extensión de Claude Code troyanizada en el marketplace de Cursor: qué deben revisar ya los equipos de desarrollo

Equipo editorial de YuSMP Group Equipo editorial, YuSMP Group

En pocas palabras

¿Qué ocurrió en el marketplace de extensiones de Cursor?

Cursor, el editor de código centrado en la IA y basado en VS Code, gestiona su propio marketplace de extensiones compatibles con VS Code. El 29 de octubre informó de que una «versión modificada con fines maliciosos» de la extensión de Claude Code, el complemento para el IDE del agente de programación de Anthropic, había estado disponible allí durante la mayor parte de la mañana laboral en EE. UU. Los atacantes no publicaron un paquete de imitación. Distribuyeron la compilación con el ID auténtico anthropic.claude-code, de modo que los editores con actualización automática simplemente la descargaron.

Cursor afirma que retiró la versión en cuanto la detectó, desconectó el marketplace, lo reconstruyó, rotó sus claves y colaboró con el proveedor de alojamiento para dejar fuera de servicio el servidor del atacante. No encontró otras extensiones comprometidas y se está poniendo en contacto con todos los usuarios que descargaron la compilación afectada. Anthropic no desarrolló la versión maliciosa y ha publicado una versión limpia, la 2.1.314, en Open VSX y en Visual Studio Marketplace. Ninguna de las dos empresas ha explicado todavía cómo consiguió el atacante introducir una compilación en el marketplace de Cursor con el nombre de Anthropic.

¿Qué hacía la extensión maliciosa?

Según el análisis de OX Security y BleepingComputer, los atacantes insertaron un cargador de 66 líneas delante del código legítimo de la extensión. Al cargarse la extensión, esta:

• recopilaba el nombre del host, el nombre de usuario, el sistema operativo, la identidad de Git y la dirección IP pública;
• añadía a ~/.ssh/authorized_keys una clave ed25519 controlada por el atacante con la etiqueta svc-telemetry;
• instalaba persistencia: un LaunchAgent en ~/Library/LaunchAgents/com.apple.sysmond.plist en macOS, o una tarea programada SysMon con un script de inicio sysmon.cmd como alternativa en Windows;
• reintentaba un túnel SSH inverso hacia 134.209.82.225 aproximadamente una vez por minuto y enviaba los datos del host a un endpoint de baliza en el puerto 8099.

BleepingComputer señala que varios errores de programación limitaron el daño: el malware no podía activar SSH donde no estaba ya en marcha, por lo que es probable que muchos equipos recibieran la persistencia sin un acceso remoto operativo. Eso es suerte, no un control. En cualquier equipo de desarrollo con SSH activado, el atacante habría tenido una shell con los mismos accesos que el ingeniero.

¿Por qué las extensiones del IDE son un objetivo tan atractivo?

Una extensión del editor se ejecuta como el propio desarrollador, con acceso al código fuente, a los archivos .env, a las sesiones de las CLI de cloud, a las claves SSH y a los tokens de los registros de paquetes. La mayoría de los equipos dejan que las extensiones se actualicen en silencio, y pocas herramientas de endpoint consideran sospechosa una actualización firmada de un editor conocido. Además, el incidente llega en un mes difícil para las herramientas de IA para desarrolladores: plataformas alojadas como Railway y Northflank han revelado brechas que expusieron secretos de clientes, y los atacantes buscan claramente las credenciales que los flujos de trabajo intensivos en IA dejan en los equipos de los desarrolladores.

Qué significa para los equipos de software de EE. UU. y la UE

Primero, el IDE forma parte de su cadena de suministro de software. Los equipos que blindan npm y las imágenes de contenedores a menudo permiten que cualquier extensión de cualquier marketplace se actualice sola en portátiles que guardan credenciales de producción. Mantenga una lista de extensiones y editores aprobados y, para herramientas con muchos privilegios como los agentes de programación con IA, valore fijar las versiones o retrasar las actualizaciones uno o dos días, para que incidentes como este se detecten antes de llegar a ustedes.

Segundo, mantenga los secretos de larga duración fuera de los equipos de los desarrolladores. Una puerta trasera en un portátil vale tanto como aquello a lo que ese portátil puede acceder. Las sesiones de cloud de corta duración mediante SSO, los secretos obtenidos en tiempo de ejecución desde un vault y un acceso a producción que exija un paso adicional reducen el radio de impacto. Es higiene básica de cloud y DevOps, y las herramientas de IA que piden amplios accesos locales la hacen más urgente, no menos.

Tercero, vigile en el endpoint la persistencia, no solo las firmas de malware. Las nuevas entradas en authorized_keys, los nuevos launch agents y las nuevas tareas programadas son baratos de monitorizar y habrían detectado directamente esta carga útil. Para las empresas de la UE, un portátil de desarrollo con acceso a datos de clientes convierte esto en un posible incidente del RGPD con un plazo de notificación de 72 horas, y los proveedores sujetos a NIS2 deberían registrarlo como un incidente de la cadena de suministro. Qué significa para el mercado español: en España, la notificación de una violación de seguridad de los datos personales se dirige a la AEPD, y las empresas privadas pueden comunicar el incidente de ciberseguridad a INCIBE-CERT para recibir apoyo en la respuesta. Para las organizaciones sujetas al Esquema Nacional de Seguridad (ENS), como los proveedores tecnológicos del sector público, conviene incluir las extensiones del IDE en el inventario de software autorizado.

Qué hacer esta semana

1. Localice a los usuarios expuestos. Haga una lista de todas las personas que usaron Cursor con la extensión de Claude Code el 29 de octubre y compruebe qué versión tenían instalada.
2. Busque indicadores. Busque la clave svc-telemetry, com.apple.sysmond.plist, la tarea SysMon, sysmon.cmd y las conexiones a 134.209.82.225, con las listas de IOC de Cursor y OX Security.
3. Aísle y limpie. Aísle los hosts afectados, elimine la clave y la persistencia, detenga los procesos de túnel o reconstruya a partir de una imagen fiable.
4. Rote las credenciales. Rote las claves SSH, las sesiones de cloud, los tokens de Git y de los registros y las claves de API de IA accesibles desde los equipos afectados, e invalide las sesiones activas.
5. Actualice de forma limpia. Pase a la versión 2.1.314 o posterior de la extensión de Claude Code.
6. Defina una política de extensiones. Apruebe a los editores, controle las actualizaciones automáticas de las herramientas con muchos privilegios y configure alertas ante nuevas claves SSH y nuevos elementos de inicio.

Preguntas frecuentes

Fuentes

Cursor — Security notice: malicious version of Anthropic.claude-code identified in the Cursor VS Code Extension Marketplace (en inglés) (29 de octubre de 2026, actualizado el 30 de octubre)
BleepingComputer — Malicious Claude Code extension on Cursor planted SSH backdoors (en inglés) (30 de octubre de 2026)
OX Security — Compromised Claude Code Extension (2.1.313) in Cursor Marketplace Plants Attacker SSH Key and Persistence (en inglés) (30 de octubre de 2026)
Sophos — Malicious Claude Code extension distributed through Cursor marketplace (en inglés)