Según informó phorion.io, la empresa detectó una puerta trasera (backdoor) dentro del paquete oficial de la extensión de Claude Code para Visual Studio Code distribuido en el marketplace de Cursor. El código malicioso deja un acceso SSH (Secure Shell, un protocolo para conectarse de forma remota a una computadora) persistente en macOS, Linux y Windows. El análisis se concentra sobre todo en macOS, aunque el implante incluye lógica de instalación y persistencia para los tres sistemas.
Cursor es un editor de código basado en VS Code, y sus extensiones se ejecutan con los permisos del editor y del usuario. Por eso, una extensión manipulada obtiene acceso inmediato a archivos locales, código fuente y herramientas de desarrollo en cuanto se carga el módulo. Según el informe, el payload se activa al cargarse el archivo, antes de que la extensión inicie su funcionamiento normal, sin que el usuario tenga que interactuar con ella.
Entre las acciones descriptas, el código agrega a la carpeta de SSH del usuario una clave pública controlada por el atacante, identificada con el comentario "svc-telemetry". Phorion recomienda buscar por la huella digital de la clave y no solo por ese comentario, que es fácil de cambiar. Además, el script intenta abrir una conexión saliente hacia un servidor externo y mantener un túnel de reenvío de puertos hacia el puerto 22 de la máquina infectada. Así, quien tenga la clave privada correspondiente podría abrir una sesión interactiva y transferir archivos.
