Uma extensão oficial, baixada de uma loja oficial, usada por desenvolvedores todos os dias. E, escondido dentro dela, um código que abria uma porta dos fundos no computador. Foi isso que a empresa de segurança Phorion relatou nesta quinta-feira, 30 de outubro de 2026.
Segundo o relatório, a versão 2.1.313 da extensão Claude Code para VS Code, distribuída no Marketplace do Cursor, trazia um backdoor de SSH que funciona em macOS, Linux e Windows.
Neste artigo você entende o que a extensão do Claude Code com backdoor fazia, como saber se foi afetado e o que limpar, porque desinstalar não basta.
O que aconteceu com a extensão do Claude Code
A Phorion, especializada em proteção de computadores Mac, detectou que o pacote da extensão no Marketplace do Cursor tinha um trecho de código malicioso inserido no começo do arquivo principal, o extension.js. O resto do pacote parecia normal, com a interface e as funções de sempre.
De acordo com o relatório, o Cursor removeu a versão comprometida da sua loja, e as versões 2.1.313 publicadas no npm e no marketplace do VS Code também foram retiradas dos respectivos registros.
O ponto mais preocupante: o código rodava assim que o editor carregava o arquivo, antes mesmo da extensão ser ativada. Ou seja, o usuário não precisava clicar em nada para o ataque começar.
Até a publicação deste texto, a principal fonte técnica sobre o caso é o relatório da Phorion. O episódio repercutiu no Hacker News e em perfis de pesquisadores de segurança, mas os detalhes abaixo seguem o que a empresa documentou.
A Phorion dividiu o ataque em quatro estágios. Em linguagem simples, é como se um invasor fizesse uma cópia da chave da sua casa, cavasse um túnel até a porta, garantisse que o túnel continuasse aberto e ainda deixasse um bilhete dizendo o que há dentro.
| Etapa | O que o código fazia |
|---|---|
| 1. Acesso SSH | Adicionava uma chave pública do atacante ao arquivo ~/.ssh/authorized_keys, com o comentário “svc-telemetry” |
| 2. Túnel reverso | Abria uma conexão SSH de saída para um servidor do atacante, que redirecionava o acesso de volta à porta 22 da vítima |
| 3. Persistência | Criava scripts e tarefas para recriar o túnel após reiniciar o computador, inclusive um arquivo disfarçado de serviço da Apple no macOS |
| 4. Reconhecimento | Enviava ao atacante nome da máquina, usuário, sistema, e-mail do Git, IP público e até 40 nomes de variáveis de ambiente com termos como KEY, TOKEN e SECRET |
Um detalhe importante da última etapa: o código coletava só os nomes das variáveis, não os valores. Mesmo assim, isso entrega ao atacante um mapa de quais máquinas guardam credenciais de nuvem e chaves de API, ajudando a escolher os alvos mais valiosos.
A Phorion também encontrou falhas no próprio malware. No macOS, um erro na checagem do “Login Remoto” faz o script pular a etapa que ligaria o SSH quando roda como usuário comum. No Windows, um trecho tentava usar um interpretador de comandos do Linux, o que tende a falhar.
Mas a empresa é clara: não dá para contar com esses erros como proteção. Se o SSH já estiver ligado, ou for ligado depois, a porta dos fundos fica pronta.
Como saber se você foi afetado
O primeiro passo é conferir se você instalou a versão 2.1.313 da extensão Claude Code em algum editor, principalmente no Cursor. A pasta da extensão costuma ter o nome anthropic.claude-code-2.1.313 dentro do diretório de extensões do editor.
Depois, procure os rastros que o relatório lista:
- Uma linha com o comentário svc-telemetry no arquivo ~/.ssh/authorized_keys.
- Arquivos .smt e .smtk dentro da pasta ~/.config (macOS e Linux) ou smt.cmd e smtk (Windows).
- No macOS, o arquivo com.apple.sysmond.plist em ~/Library/LaunchAgents.
- No Linux, uma entrada @reboot no crontab do usuário apontando para ~/.config/.smt.
- No Windows, uma tarefa agendada chamada SysMon ou o arquivo sysmon.cmd na pasta Inicializar.
- Arquivos temporários começando com .stk_ na pasta temporária do sistema.
Como limpar: desinstalar não é suficiente
Esse é o recado mais importante do relatório. Remover a extensão não apaga o que ela já instalou. A Phorion recomenda cobrir todas as etapas:
Finalize os processos ssh ou autossh suspeitos e o laço de repetição em /bin/sh que mantém o túnel de pé.
Apague o LaunchAgent no macOS, a entrada @reboot no Linux ou a tarefa SysMon e o script da pasta Inicializar no Windows, além dos arquivos .smt e .smtk.
Tire a chave svc-telemetry do authorized_keys, apague os arquivos .stk_ temporários e confira se o Login Remoto (SSH) não foi ligado sem você saber.
Se o SSH estava ligado ou houver sinal de acesso, troque senhas, tokens e chaves de API que o usuário tinha à mão, principalmente as de nuvem.
Se você trabalha numa empresa, a orientação da Phorion é acionar a equipe de resposta a incidentes assim que o uso da extensão for confirmado. Logins feitos pelo túnel aparecem nos registros do SSH como vindos do próprio computador (127.0.0.1).
O que esse caso ensina a quem usa IA para programar
Extensões de editor rodam com as mesmas permissões do editor e do usuário. Isso significa acesso imediato a arquivos, código-fonte e ferramentas de desenvolvimento. Uma extensão comprometida é praticamente um funcionário infiltrado dentro da sua máquina.
Não é o primeiro caso recente de ataque à cadeia de suprimentos no mundo da IA. Já contamos aqui como o LiteLLM foi comprometido no PyPI para roubar credenciais. Algumas práticas reduzem o risco:
- Evite atualização automática de extensões em máquinas com acesso a produção.
- Mantenha o SSH desligado no computador de trabalho quando não precisar dele.
- Guarde chaves de API num gerenciador de segredos, não em variáveis de ambiente soltas.
- Acompanhe avisos de segurança dos fornecedores das ferramentas que você usa todo dia.
Perguntas frequentes
Todas as versões da extensão do Claude Code estão comprometidas?
Não. O relatório da Phorion aponta especificamente a versão 2.1.313. Segundo a empresa, essa versão foi retirada do Marketplace do Cursor, do npm e do marketplace do VS Code.
Quem usa o Claude Code só no terminal foi afetado?
O relatório trata do pacote da extensão para editores. A Phorion menciona que versões 2.1.313 também foram retiradas do npm, então vale conferir qual versão você tem instalada, seja qual for a forma de uso.
O backdoor roubou minhas senhas?
Segundo a análise, o envio de dados levava apenas os nomes das variáveis de ambiente, não os valores. O risco real é o acesso remoto pelo SSH, que permitiria ao atacante abrir arquivos e roubar o que quisesse.
Desinstalar a extensão resolve?
Não. A persistência, as chaves SSH e os scripts continuam no computador. É preciso seguir todos os passos de limpeza e trocar credenciais se houver suspeita de acesso.
Conclusão
A versão 2.1.313 da extensão Claude Code no Marketplace do Cursor trazia, segundo a Phorion, um backdoor de SSH com persistência e envio de informações da máquina. Quem instalou essa versão deve procurar os rastros listados, limpar tudo manualmente e trocar credenciais em caso de dúvida.
Quer outro exemplo de falha que exigiu atualização urgente? Leia sobre as falhas no Tailscale SSH. O relatório completo está no blog da Phorion.