Uživatelé, kteří stáhli upravené balíčky z tržiště Cursoru, potřebují zkontrolovat i změny mimo samotné rozšíření. Aktualizace editoru nebo odinstalace doplňku nemusí stačit.

Root.cz 30. října upozornil na škodlivé rozšíření Claude Code. Aktualizované oznámení Cursoru z téhož dne upřesňuje rozsah: šlo o verze 2.1.312 a 2.1.313 pro Windows a macOS distribuované jeho tržištěm 29. října přibližně od 2:27 do 13:35 pacifického času. Upravené balíčky nevytvořil Anthropic; Cursor nemá důkazy o zásahu do oficiální distribuce ani jiných verzí.

Kód odesílal informace o počítači a uživateli včetně veřejné IP adresy, e-mailu z konfigurace Gitu a názvů proměnných prostředí. Pokoušel se přidat SSH klíč označený svc-telemetry, zapnout SSH a vytvořit trvalý zpětný tunel. Chyby v kódu a chybějící administrátorská oprávnění některé kroky blokovaly; vložené klíče, odeslané údaje a mechanismy přetrvání však vyžadují nápravu i bez prokázaného přihlášení útočníka.

Cursor odstranil balíčky, obnovil tržiště po výměně klíčů a ve spolupráci s poskytovatelem nechal vypnout útočný server. Pro postižené stroje doporučuje kontrolu instalačních a bezpečnostních záznamů, izolaci při nálezu škodlivé činnosti, odstranění klíčů, procesů a mechanismů přetrvání a zvážení nové instalace systému. Dostupné přihlašovací údaje a relace se mají obnovit z důvěryhodného zařízení. Oznámení obsahuje kontrolní indikátory a nápravné skripty.