Una investigación de Elastic ha revelado que la actividad de Claude Code en una máquina de desarrollo macOS generó riesgos de seguridad críticos. Se detectó que la herramienta abrió túneles inversos, envió credenciales de inicio de sesión a direcciones públicas temporales y creó entradas de LaunchAgent, lo que permitiría que dicha actividad persistiera incluso después de reiniciar el sistema o cerrar la sesión.

La actividad de Claude Code en una máquina de desarrollador macOS ha planteado una pregunta de seguridad difícil: ¿cuándo se convierte la automatización conveniente en una exposición grave?

Una nueva investigación de Elastic encontró una sesión que abrió túneles inversos, envió detalles de inicio de sesión a direcciones públicas temporales y creó entradas de LaunchAgent que podrían sobrevivir al cierre de sesión o al reinicio.

La actividad no parecía un dropper de malware convencional. En su lugar, procesos de agentes de codificación confiables lanzaron shells y herramientas auxiliares que publicaron una aplicación local en internet, y luego comprobaron si seguía siendo accesible.

Esa mezcla hace que el incidente sea relevante para los equipos que ya están vigilando cómo las debilidades de seguridad de Claude Code pueden poner en riesgo los sistemas de los desarrolladores.

Los investigadores de Elastic identificaron el comportamiento mientras revisaban la telemetría de los endpoints de julio de 2026.

La empresa subrayó que la evidencia admite más de una lectura: puede reflejar la administración remota de un panel de control local, pero la combinación de credenciales, túneles y persistencia exige una investigación en lugar de ser descartada.

Para las organizaciones, el impacto no se limita a un solo host: los paneles expuestos pueden revelar datos operativos, y el tunelizado persistente puede darle a un usuario no autorizado una ruta de regreso al entorno de desarrollo.

Elastic dijo en un informe que la sesión utilizó un agente de codificación confiable como proceso padre, mientras que las shells zsh llevaron a cabo las acciones posteriores.

Esto es importante porque el hecho de que una aplicación padre esté firmada no hace que cada comando que lanza sea seguro.

Sesiones de Claude Code generan túneles inversos

La cadena observada comenzó después de alertas previas que involucraban utilidades de estilo VPN y túneles.

El 23 de julio, la sesión de Claude Code utilizó opciones de omisión de permisos, reduciendo las solicitudes de aprobación antes de que sus shells hijas contactaran direcciones temporales alojadas por servicios de tunelizado gratuitos.

El patrón incluyó solicitudes repetidas a una página de inicio de sesión y una posterior extracción de métricas de la aplicación.

Una shell inició entonces cloudflared para publicar un servicio de localhost a través de un Cloudflare Quick Tunnel.

Dicho túnel hace que un servicio alojado en una computadora portátil sea accesible a través de una conexión saliente, sin necesidad de una regla de firewall entrante tradicional.

Esta función legítima también ha aparecido en ataques sigilosos de túneles de Cloudflare, por lo que su presencia requiere contexto, no un veredicto automático.

Los investigadores también vieron un binario de ngrok en el árbol del proyecto. El problema era la secuencia: solicitudes web con credenciales, una ruta pública a un servicio local y herramientas capaces de mantener esa ruta disponible.

Un nombre de host temporal por sí solo es una evidencia débil, pero estos eventos juntos pueden crear una ruta de gestión accesible externamente.

Tus equipos de seguridad deberían tratar los envíos de credenciales y los túneles inversos originados por agentes como hallazgos de alta gravedad, incluso cuando un desarrollador haya tenido la intención de probar una aplicación local.

Los investigadores deben registrar el tipo de destino tempranamente, reconstruir la sesión completa y comprobar si el servicio expuesto era esperado y estaba debidamente protegido.

Los LaunchAgents convierten el acceso temporal en persistente

La misma sesión escribió y cargó material de LaunchAgent de macOS, incluyendo una configuración de watchdog con un intervalo de 60 segundos.

Los LaunchAgents pueden iniciar programas automáticamente para un usuario, por lo que pueden mantener vivo un túnel o su aplicación local después de que la shell original haya desaparecido. Esa es la diferencia clave entre una prueba de corta duración y un acceso duradero.

La actividad también incluyó comprobaciones de procesos para cargas de trabajo relacionadas y una verificación de estado contra la dirección publicada.

La regla de Elastic “Persistencia vía herramienta de GenAI” se activó durante esta etapa. Debes preservar la ascendencia del proceso, los argumentos de la línea de comandos, los archivos plist modificados y los registros de red, y luego determinar si el propietario aprobó cada componente.

La lección más amplia es que la infraestructura de uso dual no puede juzgarse únicamente por su reputación.

Informes previos sobre la entrega de malware mediante TryCloudflare muestran por qué los servicios de túneles temporales merecen escrutinio, mientras que los fallos del sandbox de red de Claude Code subrayan la necesidad de actualizar y limitar el acceso a las credenciales.

Elastic recomienda mantener visibles las alertas de HTTP con credenciales, túneles inversos y LaunchAgents en lugar de cerrarlas automáticamente porque aparece un agente de codificación en el árbol de procesos.

Tus equipos deben separar la actividad ruidosa de los procesos hijos de los resultados concretos, restringir los modos peligrosos de omisión de permisos, revisar los nuevos LaunchAgents y validar cualquier túnel frente a una tarea de desarrollo documentada.

También deberían rotar las credenciales encontradas en las líneas de comandos y eliminar los binarios auxiliares no autorizados antes de volver a poner el sistema en servicio.

Indicadores de compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio	localhost[.]run	Servicio de túnel SSH gratuito referenciado en la investigación
Dominio	lhr[.]life	Espacio de subdominio de túnel gratuito asociado con localhost.run
Dominio	*.lhr[.]life	Patrón de nombre de host de túnel efímero observado
Dominio	trycloudflare[.]com	Espacio de nombres de Cloudflare Quick Tunnel
Dominio	*.trycloudflare[.]com	Patrón de nombre de host de Quick Tunnel público observado
Dominio	api.trycloudflare[.]com	Endpoint del plano de control de Quick Tunnel
Dominio	analytics.<redacted>.dev	Dominio redactado contactado por el script de Python
Ruta URL	/login	Endpoint utilizado para solicitudes HTTP con credenciales
Ruta URL	/api/summary	Endpoint utilizado para recuperar métricas de la aplicación
Archivo	/tmp/mcp_clean_landers.py	Script de Python observado bajo un proceso zsh
Ruta de archivo	~/.claude/projects/*/memory/MEMORY.md	Archivo de memoria de proyecto de Claude accedido durante la actividad previa
Ruta de archivo	~/.zshenv	Archivo de configuración de shell sondeado como canario de persistencia
Ruta de archivo	~/Library/LaunchAgents/com.<vendor>.<app>.watchdog.plist	Patrón redactado de plist de watchdog de LaunchAgent
Binario	cloudflared	Cliente de túnel de Cloudflare utilizado para publicar localhost
Binario	ngrok	Binario de túnel detectado en el árbol del proyecto
Binario	pritunl-client	Utilidad de clase túnel o VPN detectada antes de la sesión principal
Binario	wireguard-go	Utilidad de clase túnel o VPN detectada antes de la sesión principal

Nota: Las direcciones IP y los dominios han sido desinfectados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Vuelve a activarlos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/claude-code-sessions-spawn/