Alerta: extensión oficial de Claude comprometida con backdoor SSH

Una de las herramientas de inteligencia artificial más populares entre desarrolladores acaba de ser víctima de un ataque sofisticado. Investigadores de ciberseguridad revelaron que la extensión oficial Claude Code para Visual Studio Code, desarrollada por Anthropic, fue comprometida en el registro Open VSX para instalar un backdoor SSH persistente en las máquinas de los usuarios infectados. Este incidente subraya los riesgos cada vez mayores de la cadena de suministro de software, especialmente en herramientas de IA que usan miles de desarrolladores en toda América Latina.

¿Qué pasó?

Según los reportes de seguridad, el ataque fue identificado cuando los expertos notaron que la extensión Claude Code había sido modificada maliciosamente en el repositorio Open VSX, un registro de extensiones de código abierto similar al marketplace oficial de VS Code. Los atacantes lograron comprometer la extensión para inyectar código malicioso que instala un backdoor SSH, permitiendo acceso remoto no autorizado a las máquinas de los desarrolladores que instalaran la versión comprometida. Esto significa que los atacantes podían ejecutar comandos, robar información sensible o instalar malware adicional sin que el usuario lo supiera.

El problema fue rastreado hasta el compromiso del Cursor Marketplace, la plataforma de mercado de la herramienta Cursor (una IDE alternativa a VS Code enfocada en desarrollo asistido por IA). Cursor tuvo que desconectar el servicio temporalmente para remover el malware y investigar el alcance del incidente. Aunque Anthropic y Cursor actuaron rápidamente para contener el daño, esto abre interrogantes sobre los protocolos de seguridad en las plataformas de distribución de extensiones.

Este tipo de ataques, conocidos como "supply chain attacks", son cada vez más sofisticados porque aprovechan la confianza que los usuarios tienen en herramientas oficiales. En lugar de atacar directamente a los usuarios, los ciberdelincuentes comprometen la fuente de distribución, garantizando que su malware llegue a miles de máquinas de una sola vez.

¿Por qué importa en Argentina y América Latina?

En Argentina, Uruguay y el resto de América Latina hay una creciente comunidad de desarrolladores que usan herramientas como Claude, VS Code y Cursor para trabajar en startups tech, agencias digitales y empresas de software. Muchas de estas organizaciones manejan datos críticos de clientes, credenciales, bases de datos y propiedad intelectual. Un backdoor SSH en la máquina de un desarrollador puede convertirse rápidamente en un punto de entrada para que los atacantes accedan a los sistemas de toda la empresa.

Además, en la región abundan pequeñas y medianas empresas de tecnología que no siempre tienen departamentos de seguridad robustos. El impacto de un incidente como este puede ser catastrófico: pérdida de datos, robo de credenciales, interrupción de servicios e impacto reputacional. Las startups argentinas que exportan software a nivel global corren especial riesgo, ya que sus desarrolladores son objetivos valiosos para acceder a infraestructura de clientes internacionales.

¿Qué se recomienda?

• Verificá tu versión: Si usás Claude Code o Cursor, revisá cuándo instalaste la extensión y si hay actualizaciones de seguridad disponibles. Desinstala cualquier versión comprometida de inmediato.
• Analiza tu máquina: Si instalaste la extensión durante el período de compromiso, ejecutá un análisis antimalware completo. Considera cambiar todas tus credenciales y claves SSH desde otra máquina.
• Revisa accesos SSH: En Linux/Mac, chequea el archivo ~/.ssh/authorized_keys para detectar claves públicas no autorizadas. Si encontrás algo sospechoso, eliminalo inmediatamente.
• Monitorea logs: Revisa los logs de acceso remoto (en Windows: Visor de eventos; en Linux: /var/log/auth.log) para detectar intentos de acceso anómalo.
• Implementá MFA: Activa autenticación multifactor en todas tus cuentas críticas (GitHub, repositorios privados, servicios en la nube).
• Mantené tus herramientas actualizadas: Solo descargá extensiones y herramientas de fuentes oficiales verificadas, y mantené todo actualizado.

Este incidente es un recordatorio importante de que la seguridad en la cadena de suministro de software es responsabilidad compartida. Los desarrolladores en Argentina y América Latina deben estar alertas y practicar una higiene de seguridad rigurosa, especialmente al trabajar con herramientas que tienen acceso privilegiado a sus máquinas.

Fuente: The Hacker News