Imagen alusiva al riesgo de las extensiones alteradas en las tiendas de software para programadores. · Erick Prometeo Media (imagen generada)
Fake Claude Code version reached 5,000 Cursor users in eleven hours
An altered version of the Claude Code extension was available in the Cursor store for about 11 hours on October 29 and was downloaded by at most 5,000 users.
Cursor removed fake extension that collected data from computers
Cursor reported that a fake Claude Code extension, presented as version 2.1.313, was available for about 11 hours on October 29 and reached at most 5,000…
--- The context ---
Cursor builds artificial intelligence programming tools, and Claude Code is the programming assistant from Anthropic. According to the published information, an altered version of that extension reached the Cursor store and was presented as official, although Anthropic did not develop it.
--- The facts ---
The version was available for about 11 hours on October 29, between 2:27 and 13:35 Pacific time in the United States. It was presented as version 2.1.313 of Anthropic.claude-code and, according to the company, was downloaded by at most 5,000 users. Cursor, which belongs to SpaceX, said it removed it on detection and closed the store as a precaution.
The code collected computer and user name, operating system, processor architecture, home folder path, names of environment variables, email configured in Git and public IP address. It also tried to add an attacker SSH key, activate the local SSH service and open a reverse tunnel to its server, retrying the connection every 60 seconds through scheduled tasks on Windows and a startup agent on macOS.
--- The positions ---
Cursor clarified that activating the SSH service requires administrator permissions, which the extension does not have on most computers running macOS and Windows, so in those cases that step fails. It added that the attacker server no longer works, after being disconnected with its cloud provider, and that it reviewed the rest of the extensions without finding manipulation in any.
StepSecurity, which analyzed the program in an isolated environment, said the code was a loader inserted into the legitimate extension, about 7 KB larger than the previous clean version. Researcher Paul McCarty said the names of the collected variables can reveal which cloud services and credentials each computer uses.
--- What remains unknown ---
It is not known how the version reached the registry, whether through stolen credentials or by another means, according to StepSecurity. There is also no immediate response from Anthropic, nor confirmation of access through the tunnel.
--- Unanswered questions ---
How did version 2.1.313 reach the Cursor registry? How many of the 5,000 users still have the flagged key installed? Could the attacker access any computer before the server was disconnected? What new controls will the store apply to prevent another fake publication as official?
--- EPM analysis ---
After detecting it, Cursor rotated its keys, rebuilt the store and reopened it. It published commands for macOS and Windows that search for the svc-telemetry label, warned that uninstalling is not enough because independent scripts remain, and asked users to isolate the computer, delete the key and persistence and change credentials from another trusted system. On October 30, Anthropic released 2.1.314 on Open VSX and in the Microsoft store, and 2.1.313 is no longer offered.
📌 EPM Take: In EPM's view, this case shows that trust in programming tools cannot rest only on the name displayed in a store. An extension presented as official was available for hours and reached thousands of computers before it was removed. The quick response by Cursor limited the damage, but verifying the origin, reviewing installed keys and distrusting updates without credit must become permanent habits for people who work with code and sensitive credentials.
--- The context ---
Extension stores are the usual gateway for expanding a programming editor, and that trust is what this case exploited. Cursor reported that an altered version of the Claude Code extension, the assistant from Anthropic, was in its store as a legitimate update. The company clarified Anthropic did not develop it, even though it carried its identification.
--- The facts ---
The publication took place on October 29 and lasted about 11 hours, between 2:27 and 13:35 Pacific time. The extension was presented as version 2.1.313 of Anthropic.claude-code and reached at most 5,000 downloads. Cursor, which belongs to SpaceX, removed it on detection and closed the store as a precaution.
According to the company, the program collected computer and user name, operating system, processor architecture, home folder path, names of environment variables, email configured in Git and public IP address. It also tried to add an attacker SSH key, activate the local SSH service and open a reverse tunnel to its server, with retries every 60 seconds on Windows and macOS.
--- The positions ---
Cursor explained that activating SSH requires administrator permissions the extension does not have on most computers running macOS and Windows, so in those cases the step fails and the attacker could not enter through the tunnel. Even so, it acknowledged the key remained installed and data was sent to the attacker, and said its server no longer works after being disconnected with its provider.
StepSecurity analyzed the program in isolation and concluded it was a loader inserted into the legitimate extension, about 7 KB larger than the previous clean version, adding it is not known how it reached the registry. Paul McCarty warned that variable names can reveal cloud services and credentials for each computer.
--- What remains unknown ---
The route by which the fake version entered the registry still needs clarification, whether stolen credentials were involved or there was another means. There has also been no report of completed access, nor an immediate response from Anthropic.
--- Unanswered questions ---
Did a control fail or were stolen credentials what allowed the fake version to be uploaded? How many computers still keep the key identified by Cursor? Will any effective access by the attacker be confirmed? Will rebuilding the store be enough or will additional checks be needed?
--- EPM analysis ---
Cursor rotated its keys, rebuilt and reopened the store, and reviewed the rest of the extensions without finding manipulation in any. It published checking commands on macOS and Windows and asked users to isolate the computer, delete the key and persistence and change credentials from a trusted system, because uninstalling is not enough. On October 30 Anthropic released 2.1.314 on Open VSX and in the Microsoft store, and 2.1.313 is no longer offered there.
📌 EPM Take: In EPM's view, security begins by checking before installing, even when an extension looks official and arrives from the usual store. Cursor acted quickly by removing the version, closing the store, rotating keys and rebuilding the system, and that reaction marks the difference between a contained incident and a larger breach. Even so, affected users cannot simply uninstall: they must look for the flagged key, remove persistence and change credentials from a trusted computer.
Versión falsa de Claude Code alcanzó a 5.000 usuarios de Cursor
Una versión alterada de la extensión de Claude Code estuvo unas 11 horas en la tienda de Cursor el 29 de octubre y la descargaron como máximo 5.000 usuarios.
Cursor retiró una extensión falsa que recopilaba datos de equipos
Cursor informó que una extensión falsa de Claude Code, presentada como versión dos punto uno punto trescientos trece, estuvo disponible unas 11 horas el 29 de…
--- El contexto ---
Cursor es una empresa de herramientas de programación con inteligencia artificial y Claude Code es el asistente de Anthropic. Según la información publicada, una versión alterada de esa extensión llegó a su tienda como oficial, aunque Anthropic no la desarrolló.
--- Los hechos ---
La versión estuvo disponible durante unas 11 horas del 29 de octubre, entre las 2:27 y las 13:35, hora del Pacífico. Se presentaba como la versión dos punto uno punto trescientos trece de Anthropic.claude-code y, según la compañía, la descargaron como máximo 5.000 usuarios. Cursor, que pertenece a SpaceX, afirmó que la retiró apenas la detectó y cerró toda la tienda por precaución.
El código recopilaba nombre de equipo y usuario, sistema operativo, arquitectura del procesador, ruta de la carpeta personal, nombres de variables de entorno, correo configurado en Git y dirección IP pública. También intentaba agregar una clave SSH del atacante, activar el servicio local de SSH y abrir un túnel inverso hacia su servidor, reintentando cada 60 segundos mediante tareas en Windows y un agente en macOS.
--- Las posiciones ---
Cursor precisó que activar el servicio SSH exige permisos de administrador, que la extensión no tiene en la mayoría de los equipos con macOS y Windows, por lo que en esos casos ese paso falla. Agregó que el servidor del atacante ya no funciona, tras desconectarlo con su proveedor de nube, y que revisó el resto de extensiones sin hallar manipulación en ninguna.
StepSecurity, que analizó el programa en un entorno aislado, señaló que el código era un cargador insertado en la extensión legítima, unos 7 KB mayor que la versión limpia anterior. Paul McCarty afirmó que los nombres de las variables recolectadas pueden revelar qué servicios en la nube y qué credenciales usa cada equipo.
--- Lo que falta saber ---
No se conoce cómo llegó la versión al registro, si por credenciales robadas o por otro medio, según StepSecurity. Tampoco consta respuesta inmediata de Anthropic ni confirmación de accesos por el túnel.
--- Preguntas sin respuesta ---
¿Cómo llegó la versión dos punto uno punto trescientos trece al registro de Cursor? ¿Cuántos de los 5.000 usuarios tienen instalada la clave señalada? ¿Pudo el atacante acceder a algún equipo antes de desconectarse su servidor? ¿Qué controles aplicará la tienda para evitar otra publicación falsa?
--- Análisis EPM ---
Tras detectarla, Cursor rotó sus claves, reconstruyó y reabrió la tienda. Publicó comandos para macOS y Windows que buscan la etiqueta svc-telemetry, advirtió que desinstalar no basta porque quedan scripts y pidió aislar el equipo, eliminar clave y persistencia y cambiar credenciales desde otro sistema de confianza. El 30 de octubre Anthropic publicó la dos punto uno punto trescientos catorce en Open VSX y en la tienda de Microsoft, y ya no se ofrece la dos punto uno punto trescientos trece.
📌 Conclusion EPM: A juicio de EPM, este caso muestra que la confianza en las herramientas de programación no puede descansar solo en el nombre que aparece en una tienda. Una extensión presentada como oficial estuvo disponible durante horas y alcanzó a miles de equipos antes de ser retirada. La respuesta rápida de Cursor limitó el daño, pero verificar el origen, revisar las claves instaladas y desconfiar de actualizaciones sin acreditar deben ser hábitos permanentes para quienes trabajan con código y credenciales sensibles.
--- El contexto ---
Las tiendas de extensiones son la puerta habitual para ampliar un editor, y esa confianza explotó este caso. Cursor informó que una versión alterada de Claude Code, el asistente de Anthropic, estuvo en su tienda como actualización legítima. La empresa aclaró que Anthropic no la desarrolló, aunque llevaba su identificación.
--- Los hechos ---
La publicación ocurrió el 29 de octubre y duró unas 11 horas, entre las 2:27 y las 13:35, hora del Pacífico. La extensión se presentaba como versión dos punto uno punto trescientos trece de Anthropic.claude-code y alcanzó, como máximo, 5.000 descargas. Cursor, que pertenece a SpaceX, la retiró al detectarla y cerró la tienda por precaución.
Según la empresa, el programa recopilaba nombre de equipo y usuario, sistema operativo, arquitectura del procesador, ruta de la carpeta personal, nombres de variables de entorno, correo configurado en Git y dirección IP pública. Además intentaba agregar una clave SSH del atacante, activar el SSH local y abrir un túnel inverso hacia su servidor, con reintentos cada 60 segundos en Windows y macOS.
--- Las posiciones ---
Cursor explicó que activar SSH exige permisos de administrador que la extensión no tiene en la mayoría de equipos con macOS y Windows, de modo que en esos casos el paso falla y el atacante no pudo entrar por el túnel. Aun así, reconoció que la clave quedaba instalada y los datos se enviaban al atacante, y aseguró que su servidor ya no funciona tras desconectarlo con su proveedor.
StepSecurity analizó el programa en aislamiento y concluyó que era un cargador insertado en la extensión legítima, unos 7 KB mayor que la versión limpia anterior, y añadió que no se conoce cómo llegó al registro. Paul McCarty advirtió que los nombres de las variables pueden revelar servicios en la nube y credenciales.
--- Lo que falta saber ---
Queda por aclarar la vía de entrada de la versión falsa, si mediaron credenciales robadas o hubo otro medio. Tampoco se ha informado de accesos consumados ni consta respuesta inmediata de Anthropic.
--- Preguntas sin respuesta ---
¿Falló un control o fueron credenciales robadas lo que permitió subir la versión falsa? ¿Cuántos equipos conservan todavía la clave identificada por Cursor? ¿Se confirmará algún acceso efectivo del atacante? ¿Bastará reconstruir la tienda o harán falta verificaciones adicionales futuras?
--- Análisis EPM ---
Cursor rotó sus claves, reconstruyó la tienda y la reabrió, y revisó el resto de las extensiones sin hallar manipulación. Publicó comandos en macOS y Windows y pidió aislar el equipo, eliminar la clave y la persistencia y cambiar credenciales desde un sistema de confianza, porque desinstalar no basta. El 30 de octubre Anthropic publicó la dos punto uno punto trescientos catorce en Open VSX y en la tienda de Microsoft, sin que ya se ofrezca la dos punto uno punto trescientos trece.
📌 Conclusion EPM: A juicio de EPM, la seguridad empieza por comprobar antes de instalar, incluso cuando la extensión parece oficial y llega desde la tienda habitual. Cursor actuó con rapidez al retirar la versión, cerrar la tienda, rotar claves y reconstruir el sistema, y esa reacción marca la diferencia entre un incidente contenido y una brecha mayor. Aun así, los afectados no pueden limitarse a desinstalar: deben buscar la clave señalada, eliminar la persistencia y cambiar credenciales desde un equipo de confianza.
