Expediente cursor-npm-macos-backdoorCadena de suministro de IAGlobal
Paquetes npm 'sw-cur' y 'aiide-cur' instalan puerta trasera en Cursor en macOS, 3,200 descargas
Socket halló tres paquetes npm que prometían acceso barato a Cursor y que robaban credenciales de Cursor, parcheaban su main.js con código del atacante, desactivaban la actualización automática y reiniciaban el IDE para mantener ejecución remota dentro de él.
AltaAtaque a la IAEstado: ContenidoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 9 may 2025
- Ubicación
- Global
- Objetivo
- Usuarios del editor de IA Cursor en macOS
- Gravedad
- Alta
- Provocado por
- Cuentas npm gtr2018 y aiide
- Tipo de actor
- Criminal
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Socket halló tres paquetes npm que prometían acceso barato a Cursor y que robaban credenciales de Cursor, parcheaban su main.js con código del atacante, desactivaban la actualización automática y reiniciaban el IDE para mantener ejecución remota dentro de él.
Impacto: Más de 3,200 descargas; las instalaciones de Cursor infectadas ejecutaban código controlado por el atacante con la actualización automática desactivada, exponiendo credenciales, código fuente y pipelines de compilación
Quién lo provocó
Actor: Cuentas npm gtr2018 y aiide
Atribución: Publicados bajo los nombres de usuario npm gtr2018 y aiide; sin más atribución
Motivo: Robo de credenciales y ejecución de código persistente dentro de un IDE de desarrollo, con potencial de compromiso de código fuente y CI/CD
Cómo ocurrió
Vector de ataque: Paquetes npm maliciosos anunciados como herramientas para acceso barato a Cursor; el script de instalación recolectaba credenciales, descargaba una carga útil cifrada y sobrescribía archivos bajo Cursor.app
Causa raíz: Desarrolladores que confían en paquetes npm no oficiales para eludir tarifas de suscripción; archivos de la aplicación IDE escribibles por el usuario y sin verificación de integridad de los componentes parcheados
Cronología
- sw-cur y sw-cur1 publicados por gtr2018
- aiide-cur publicado por aiide
- Socket divulga la campaña con más de 3,200 descargas combinadas y solicita a npm su eliminación
Respuesta
Socket solicitó la eliminación de npm y aconsejó a las víctimas reinstalar Cursor desde una fuente confiable, rotar credenciales y auditar el código en busca de cambios no autorizados
Estado actual: Contenido
Fuentes (pestaña nueva)
- The Hacker News thehackernews.com
- SecurityWeek securityweek.com
Citar este expediente
Paquetes npm 'sw-cur' y 'aiide-cur' instalan puerta trasera en Cursor en macOS, 3,200 descargas. AI Threat Watch, expediente cursor-npm-macos-backdoor, 9 may 2025. https://aithreat.io/es/cases/cursor-npm-macos-backdoor/
Enlace permanente: https://aithreat.io/es/cases/cursor-npm-macos-backdoor/