Cursor indique avoir retiré les paquets altérés et fait fermer le serveur utilisé par l’attaquant. Selon Phorion, le code déposait une clé SSH et des mécanismes de persistance ; supprimer l’extension ne les efface pas nécessairement.
L’éditeur demande de vérifier les postes concernés, d’isoler ceux présentant des traces d’exécution, de retirer les accès et scripts malveillants et de renouveler les identifiants depuis un appareil sain. L’accès distant dépendait notamment de l’activation du service SSH ; l’installation ne prouve donc pas qu’un pirate s’est connecté.