Los investigadores de seguridad de Phorion han revelado que se ha visto comprometida la extensión oficial «Claude Code for VS Code», distribuida a través de Cursor Marketplace. La versión maliciosa (2.1.313) se vio comprometida a través de la cadena de suministro de software, con una puerta trasera SSH multiplataforma capaz de establecer un acceso remoto persistente en sistemas macOS, Linux y Windows. Tras la revelación, la versión afectada fue retirada del marketplace y de los registros de paquetes asociados.
A diferencia de los ladrones de credenciales tradicionales, este ataque se diseñó para proporcionar acceso interactivo a largo plazo a las estaciones de trabajo de los desarrolladores mediante la implantación de claves de autenticación SSH, el establecimiento de túneles inversos y la creación de mecanismos de persistencia en el sistema operativo.
Para las organizaciones que utilizan Claude Code, VS Code o Cursor en entornos de desarrollo, este incidente supone una escalada significativa en el panorama de amenazas de la cadena de suministro de los entornos de desarrollo integrado (IDE).
Según Phorion, un atacante modificó el paquete principal de JavaScript de la extensión añadiendo al principio una expresión de función de invocación inmediata (IIFE) maliciosa que se ejecutaba tan pronto como se cargaba la extensión. No se requería la interacción del usuario.
Dado que las extensiones de VS Code y Cursor se ejecutan con los permisos del usuario que ha iniciado sesión, el código malicioso obtiene inmediatamente acceso a los repositorios de código fuente, los archivos locales, las credenciales de desarrollo, las configuraciones SSH y las herramientas en la nube.
Aún se está evaluando el impacto potencial de este incidente en la cadena de suministro de software. Se desconoce si las versiones oficiales de la extensión se vieron comprometidas en otros mercados distintos de Cursor.
Si utilizas VS Code con la extensión para Claude, se recomienda que compruebes los siguientes indicadores de compromiso (IoC) en tu entorno:
~/.config/.smt
~/.config/.smtk
~/Library/LaunchAgents/com.apple.sysmond.plist
Entradas en «Authorized_keys» que hacen referencia a: svc-telemetry
Si tu organización se ha visto afectada por este ataque a la cadena de suministro de software, ponte en contacto con el equipo de respuesta a incidentes de Integrity360 para obtener ayuda.
Referencia: https://phorion.io/blog/offical-claude-code-vsx-compromise/
Si le preocupan alguna de las amenazas descritas en este boletín o necesita ayuda para determinar qué medidas debe tomar para protegerse de las amenazas más graves a las que se enfrenta su organización, póngase en contacto con su gestor de cuentas o, si lo prefiere, contáctenos para averiguar cómo puede proteger su organización.