Cómo una extensión falsa de 'Claude Code' en Cursor atacó a 5.000 desarrolladores (Comandos de verificación)

En un reciente incidente de seguridad en la tienda de extensiones de Cursor, versiones troyanizadas (2.1.312 y 2.1.313) de una extensión llamada claude-code estuvieron disponibles durante 11 horas, afectando potencialmente a 5.000 desarrolladores.

Como las extensiones de IDE se ejecutan sin sandbox y con todos los permisos del usuario, el código malicioso intentó añadir una clave SSH del atacante en ~/.ssh/authorized_keys y crear persistencia mediante LaunchAgents en macOS o Tareas Programadas en Windows.

Comandos para verificar tu equipo (macOS y Linux)

# 1. Revisar extensiones instaladas en Cursor
ls -la ~/.cursor/extensions/ | grep -i "claude"
 
# 2. Verificar claves autorizadas en SSH
cat ~/.ssh/authorized_keys
 
# 3. Revisar agentes de inicio en macOS
ls -la ~/Library/LaunchAgents/

Para evitar actualizaciones silenciosas en el futuro, desactiva la actualización automática en tu settings.json:

{
  "extensions.autoUpdate": false,
  "extensions.autoCheckUpdates": true
}