Un’estensione per Claude Code scaricata dal marketplace di Cursor ha nascosto una sorpresa pericolosa: un codice malevolo capace di installare una backdoor SSH su Windows e macOS. In pratica, un accesso segreto, non autorizzato, che permetteva a chiunque lo sfruttasse di prendere il controllo totale del sistema. La scoperta ha scosso la comunità tech, proprio perché questi strumenti sono usati quotidianamente da migliaia di sviluppatori.
Quella che sembrava una semplice estensione, fatta per semplificare la vita ai programmatori, si è rivelata un vero cavallo di Troia. Lo script JavaScript integrato operava in modo silenzioso, aprendo una porta nascosta per attacchi remoti. Il rischio? Che chiunque con cattive intenzioni potesse entrare e agire indisturbato, senza che l’utente se ne accorgesse.
Una backdoor SSH nascosta nel codice JavaScript di Claude Code
L’estensione incriminata fa parte dell’ambiente di sviluppo Claude Code, disponibile su più piattaforme. Passando dal marketplace di Cursor, noto per ospitare plugin e strumenti per programmatori, è stata distribuita questa estensione contenente codice malevolo. In pratica, lo script inseriva una backdoor SSH sul dispositivo, consentendo accessi remoti aggirando le normali autenticazioni.
Il codice è stato realizzato per agire senza farsi notare, mimetizzandosi nell’uso quotidiano di Claude Code durante la scrittura e il debug del codice. Gli autori sono riusciti a sfruttare i permessi dati all’estensione per attivare funzioni di sistema, creando così un’infezione silenziosa. Il problema è serio: SSH è uno degli strumenti più diffusi per la gestione remota su Windows e macOS.
Un attacco di questo tipo non mette a rischio solo i dati salvati, ma può compromettere l’intera sicurezza della macchina. Un intruso può eseguire comandi, spostare file o installare altri malware. La scoperta è arrivata grazie a un’analisi approfondita del codice e al monitoraggio delle attività di rete durante l’uso dell’estensione.
L’impatto e le reazioni alla backdoor nel marketplace Cursor
L’allarme è scattato rapidamente tra gli utenti di Claude Code e gli sviluppatori che si affidano a Cursor per i loro plugin. Sono arrivate numerose segnalazioni di comportamenti strani sui dispositivi dopo l’installazione dell’estensione infetta. Gli esperti di sicurezza hanno confermato la presenza della backdoor e messo in guardia sulle possibili conseguenze di un attacco simile.
Il marketplace Cursor ha prontamente rimosso l’estensione e avviato un’indagine interna per capire come un pacchetto così pericoloso abbia potuto passare i controlli. Il caso ha riaperto il dibattito sulla necessità di controlli più severi e di revisioni più approfondite, soprattutto per estensioni con accesso alle funzioni di sistema.
Utenti e aziende sono stati invitati a prestare attenzione a qualsiasi attività sospetta dopo l’installazione di nuovi plugin, e a tenere aggiornati antivirus e sistemi di sicurezza. Le verifiche potrebbero far emergere altri strumenti compromessi, perché una backdoor di questo tipo può diventare una minaccia duratura se sfruttata.
Come proteggersi da backdoor SSH nascoste nelle estensioni
Questa scoperta è un chiaro segnale di quanto sia importante adottare misure di sicurezza quando si usano estensioni e plugin per ambienti di sviluppo. Scaricare software solo da fonti ufficiali e affidabili resta il primo passo. Su piattaforme aperte come Cursor, è fondamentale leggere le recensioni e controllare con attenzione i permessi richiesti prima di installare qualsiasi estensione.
È altrettanto importante mantenere aggiornati sistemi operativi e programmi di sicurezza, compresi antivirus e firewall, per bloccare eventuali attività sospette. Strumenti di monitoraggio della rete possono aiutare a individuare connessioni anomale verso server esterni. Nel lavoro di programmazione, evitare di eseguire script non verificati o di dubbia provenienza è un’abitudine da non sottovalutare.
Le aziende, in particolare, dovrebbero adottare regole interne per controllare quali estensioni possono essere installate, privilegiando solo quelle certificate. Formare gli utenti sulle tecniche di attacco e sulle strategie di difesa resta una delle armi più efficaci per ridurre il rischio di intrusioni e minacce come questa backdoor.