Um ataque cibernético afetou a loja de extensões do editor de código Cursor nesta quinta-feira, 29 de setembro, comprometendo a segurança de milhares de desenvolvedores. Cibercriminosos injetaram códigos maliciosos nas versões 2.1.312 e 2.1.313 da extensão oficial do Claude Code, uma ferramenta de inteligência artificial criada pela Anthropic, atingindo cerca de 5.000 usuários que realizaram a atualização entre a madrugada e o início da tarde.
O incidente ocorreu exclusivamente na loja virtual do Cursor, conhecida como SpaceXAI. De acordo com Félix Rieseberg, membro da equipe técnica da Anthropic, a invasão não afetou os sistemas da Anthropic ou os computadores dos funcionários. “Um ator malicioso aproveitou o acesso ao marketplace do Cursor para publicar uma versão adulterada da extensão do Claude Code”, explicou Rieseberg em uma postagem no X (antigo Twitter).
Em resposta ao ataque, a Anthropic lançou a versão v2.1.314 da extensão no GitHub, recomendando que todos os desenvolvedores atualizassem seu software para garantir a segurança. Os golpistas conseguiram replicar a identidade da extensão legítima, mas inseriram um carregador malicioso que coletava dados do sistema operacional, nomes de usuários e e-mails configurados no Git, um software amplamente utilizado por programadores. Além disso, o malware tentava estabelecer uma conexão secreta com um servidor externo após injetar uma chave de acesso não autorizada no computador da vítima.
A equipe do Cursor agiu rapidamente, removendo a versão comprometida e suspendendo temporariamente o funcionamento do marketplace de extensões. Em comunicado oficial, a empresa confirmou que bloqueou a distribuição da extensão maliciosa assim que foi detectada e realizou auditorias de segurança, assegurando que outras extensões não haviam sido afetadas.
Apesar da gravidade do ataque, falhas no script impediram que a maioria dos computadores atingidos fosse controlada remotamente. Pesquisadores do Cursor descobriram que os criminosos precisariam de permissões de administrador para ativar o acesso, o que não foi possível para a maioria dos sistemas operacionais afetados.
No entanto, especialistas da OpenSourceMalware alertaram que a simples desinstalação da extensão não é suficiente para garantir a segurança. O pacote malicioso deixou mecanismos autônomos de permanência que continuam ativos no sistema. As empresas afetadas devem verificar se houve modificações em seus computadores, utilizar scripts de limpeza fornecidos pelo Cursor e trocar senhas e chaves de segurança imediatamente.
Fonte: www.estadao.com.br