Una credencial robada permitió a los atacantes convertir el sistema de distribución de extensiones de Cursor en una vía hacia los equipos de los desarrolladores, según ha confirmado Cursor. BleepingComputer describió, en un informe del 14 de noviembre, el relato que la empresa acaba de divulgar sobre una brecha que expuso información de clientes y permitió que paquetes maliciosos de Claude Code llegaran a hasta 5.000 usuarios.
La preocupación inmediata afecta a los desarrolladores que instalaron o actualizaron automáticamente las versiones 2.1.312 o 2.1.313 de anthropic.claude-code desde el marketplace de Cursor el 29 de octubre de 2026. Los paquetes intentaban establecer un acceso remoto persistente, y actualizar o desinstalar la extensión no elimina las claves no autorizadas ni los archivos de inicio que hayan podido dejar en otras partes del dispositivo.
Cursor calcula que hasta 5.000 usuarios que solicitaron esas versiones durante el periodo de exposición pudieron haber recibido las compilaciones alteradas. El análisis de Microsoft del 30 de octubre cita una ventana de disponibilidad de Cursor de aproximadamente las 2:27 a. m. a las 1:35 p. m., hora de verano del Pacífico, del 29 de octubre, unas 11 horas antes de su retirada.
Del registro de entrenamiento a la distribución de extensiones
Cursor, un editor asistido por IA basado en Visual Studio Code, el código abierto de Microsoft, atribuyó la intrusión a una clave de acceso que custodiaba Fireworks AI, su proveedor externo para el entrenamiento y la inferencia de modelos. BleepingComputer informó de que Cursor publicó su relato completo del incidente el viernes.
La clave daba a los atacantes acceso de lectura a un bucket de almacenamiento que se usaba para compartir información con Fireworks. Copiaron trazas históricas de agentes de programación (registros de la actividad de los agentes), en su mayoría de 2025. Pertenecían a usuarios cuyos datos podían utilizarse para entrenar modelos porque no habían activado Privacy Mode.
Algunas trazas incluían credenciales de API sin redactar, que permitieron a los atacantes pasar a otros sistemas de Cursor. La empresa cifra la exposición en menos del 0,05 % de los usuarios en cuanto a trazas de agentes y en menos del 0,01 % de los clientes en cuanto a credenciales de API comprometidas.
Los datos extraídos de las herramientas empresariales alojadas por Cursor incluían repositorios de código fuente archivados y no productivos, algunos con información de contacto comercial; registros de soporte y conversaciones por correo electrónico limitados; métricas de uso y datos de contacto de clientes; resúmenes de algunas conversaciones con agentes; y credenciales que los clientes habían entregado previamente al equipo de soporte.
Cursor explicó que la supervisión detectó la actividad no autorizada. Revocó la clave de Fireworks, rotó las credenciales expuestas e investigó otros accesos, y desactivó temporalmente algunos servicios internos y de producto. Pero los atacantes ya poseían otra credencial que les permitía escribir paquetes de extensión no autorizados directamente en la caché que servía el marketplace de Cursor.
La empresa afirma que no se vieron afectadas la infraestructura de producción, las versiones oficiales de la aplicación, los repositorios de código de los clientes ni el código y los prompts de los usuarios de Privacy Mode. Su respuesta incluyó trasladar todo el tráfico de inferencia fuera de Fireworks, reconstruir el marketplace de extensiones y redesplegar la infraestructura de producción como medida preventiva.
La vía de distribución importa al evaluar la exposición. Open VSX, el marketplace que usa Cursor, y la extensión legítima de Anthropic no se vieron comprometidos. Microsoft confirmó que ni Visual Studio Marketplace ni el paquete @anthropic-ai/claude-code de npm distribuyeron los paquetes maliciosos. Anthropic indicó a Microsoft que sus sistemas no estaban comprometidos y que no había producido el paquete alterado; las pruebas de Microsoft apuntaban a un incidente limitado al marketplace de Cursor.
Qué ocurrió al cargarse la extensión
Microsoft Threat Intelligence comprobó que el JavaScript inyectado se ejecutaba antes del código normal de la extensión. A través de interfaces de Node.js y de herramientas integradas del sistema operativo, podía recopilar información, modificar archivos y ejecutar comandos sin descargar otro ejecutable. La extensión seguía funcionando mientras el código inyectado ocultaba la salida de los comandos y gestionaba los errores en silencio.
Su primera tarea era el reconocimiento: nombre de host, nombre de usuario, sistema operativo, arquitectura del procesador, directorios personal y de trabajo, y la dirección de correo global de Git. También seleccionaba hasta 40 nombres de variables de entorno que coincidían con términos como KEY, TOKEN, SECRET, PASS, AWS o GCP. Una llamada de retorno diferida intentaba informar del nombre de host y de los datos del usuario, y de esos nombres de variables, no de sus valores secretos almacenados.
La configuración de acceso remoto usaba dos claves distintas. El cargador buscó la entrada svc-telemetry en el archivo de autorización SSH del usuario; si no existía, añadió una clave pública Ed25519 incrustada. SSH, o Secure Shell, es un protocolo para el acceso remoto autenticado, de modo que esa entrada podía permitir el acceso a quien tuviera la clave privada correspondiente, según la configuración local.
Una clave privada incrustada aparte autenticaba una conexión saliente con la cuenta remota tunnel. Su nombre temporal empezaba por .stk_, seguido de diez caracteres hexadecimales derivados del nombre de host y del directorio personal, y SSH la cargaba con -i. La conexión solicitaba reenvío inverso, lo que creaba una ruta de vuelta, a través del túnel saliente, hasta el servicio SSH de la estación de trabajo. Después, mecanismos de inicio intentaban mantener activa esa conexión, antes del informe de reconocimiento diferido.
Se trataba de capacidades intentadas, cuyo éxito dependía de los privilegios del dispositivo, de la configuración de SSH y de la configuración del servidor del atacante. BleepingComputer informó de hallazgos de investigadores según los cuales, probablemente, errores de programación impidieron que las puertas traseras funcionaran en muchos dispositivos Windows y macOS sin SSH ya habilitado. Sin embargo, Microsoft comprobó que las claves de autorización y los artefactos de inicio podían escribirse aunque el túnel fallara.
BleepingComputer sitúa la brecha dentro de los ataques contra el desarrollo de IA que Wiz denomina «Black October». Estos afectaron a Railway, Northflank, Lightning AI, OpenCode y Warp, implicaron el abuso de credenciales para inferencia no autorizada y, en ocasiones, intentos de destilación de modelos, incluyeron unos 740.000 dólares en cargos fraudulentos de Railway AI y uso no autorizado de OpenCode, y abarcaron brechas de Fireworks de octubre que expusieron claves y tokens o equipos de desarrollo a través de un proveedor de nube comprometido, además de transcripciones de IA de un pequeño número de espacios de trabajo de Notion.
Conservar las pruebas y eliminar después el acceso persistente
Microsoft recomienda a las organizaciones identificar las instalaciones afectadas y comparar los registros de instalación con los registros de dispositivos, red, archivos, procesos y autenticación. Aísle los dispositivos que muestren la ejecución del cargador o la instalación de una puerta trasera. Antes de la limpieza, conserve el paquete de la extensión, los archivos de autorización modificados, las claves generadas, los scripts y la configuración de inicio.
Entre los indicadores útiles para la investigación figuran el destino SSH y HTTP configurado 134.209.82[.]225 y el punto de conexión de notificación hxxp://134[.]209[.]82[.]225:8099/beacon. Microsoft identifica estos hashes SHA-256:
- Punto de entrada JavaScript:
ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15. Identifica el script, no el paquete de la extensión. - Archivo de clave privada del túnel descifrado:
7e0a52885fadee05544a9e99eb18c792bec05900a5e1a66d68f8383decb0e278.
Para revisar las claves de acceso no autorizadas, inspeccione ~/.ssh/authorized_keys en macOS y Linux, y %USERPROFILE%\.ssh\authorized_keys junto con C:\ProgramData\ssh\administrators_authorized_keys, si existen, en Windows. Compare la entrada sospechosa svc-telemetry con la huella SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk antes de eliminar esa clave concreta. Conserve las claves legítimas y la configuración de desarrollo remoto; la ausencia del marcador por sí sola no permite dar por limpio un dispositivo.
Tras recoger las pruebas, elimine la extensión maliciosa y la persistencia confirmada:
- macOS: descargue y elimine
~/Library/LaunchAgents/com.apple.sysmond.plist, una configuración de inicio por usuario, junto con~/.config/.smty~/.config/.smtk. - Linux: elimine la entrada
@rebootmaliciosa del crontab del usuario que apunta a~/.config/.smt, conservando las demás entradas, y borre ese script y~/.config/.smtk. - Windows: elimine la tarea programada maliciosa
SysMon, el respaldosysmon.cmdde la carpeta de inicio,%USERPROFILE%\.config\smt.cmdy%USERPROFILE%\.config\smtk.
Revise las acciones de inicio antes de eliminarlas: un nombre de archivo conocido por sí solo no basta. Detenga los procesos SSH maliciosos confirmados y los de reintento y, tras recoger las pruebas, elimine las identidades temporales que coincidan con .stk_[0-9a-f]{10}.
Microsoft ofrece detecciones de Defender y consultas de caza que cubren conexiones, artefactos de archivos, tareas programadas de Windows y cambios de inicio en macOS. Las coincidencias de las consultas son pistas de investigación que requieren correlación; no todos los eventos incluyen hashes de archivo.
Cursor también ofrece comprobaciones y scripts de remediación específicos por plataforma, que Microsoft recomienda revisar, junto con sus requisitos de ejecución, antes de usarlos. Los investigadores deben examinar la actividad posterior a la carga de la extensión en busca de claves SSH aceptadas, túneles, sesiones locales, comandos y accesos a archivos. Cuando haya indicios de exposición de credenciales o no pueda restablecerse la confianza en el dispositivo, rote las credenciales y revoque las sesiones desde un dispositivo de confianza; reconstruya el equipo si la investigación lo requiere.
Ni eliminar la extensión ni la baja de servidores que Cursor informó borra los artefactos existentes en el dispositivo. Compruebe que no reaparecen tras iniciar sesión o reiniciar, y aplique los controles de Cursor que recomienda Microsoft: restrinja las extensiones a editores aprobados y use un período de espera antes de instalar para retrasar las versiones recién publicadas.
