Manipulierte Claude-Code-Erweiterung installierte eine SSH-Hintertür

Am 29. Oktober bot Cursor zwischen 2:27 Uhr und 13:35 Uhr pazifischer Zeit die schädlichen Versionen 2.1.312 und 2.1.313 der Erweiterung Anthropic.claude-code an. Das Paket erschien als legitimes Update eines verifizierten Kontos. Laut Ars Technica könnten bis zu 5.000 Nutzer betroffen gewesen sein.

Das Update fügte einen SSH-Schlüssel und eine 60-Sekunden-Schleife hinzu

Der Schadcode sammelte Hostname, Benutzername, Betriebssystem, Architektur, Home-Verzeichnis, Namen von Umgebungsvariablen, Arbeitsverzeichnisse, konfigurierte Git-E-Mail und öffentliche IP-Adresse. Diese Daten meldete er an einen Server des Angreifers.

Zudem ergänzte er authorized_keys um einen öffentlichen Schlüssel namens svc-telemetry, versuchte den lokalen SSH-Dienst zu aktivieren und einen Reverse-SSH-Tunnel zu öffnen. Unter macOS richtete er einen LaunchAgent ein, unter Windows eine geplante Aufgabe oder ersatzweise ein Startskript. Hilfsprozesse versuchten die Verbindung ungefähr alle 60 Sekunden erneut.

Cursor entfernte die schädlichen Versionen, schaltete den Marketplace vorübergehend ab, rotierte Schlüssel und ließ den Steuerungsserver gemeinsam mit dem Hosting-Anbieter stilllegen. Laut Unternehmen ergab die Prüfung keine Hinweise auf weitere betroffene Versionen oder Erweiterungen.

Eine Entwickler-Erweiterung arbeitet neben Quellcode und Zugangsdaten

Eine Editor-Erweiterung erreicht Arbeitsverzeichnisse und läuft mit den Rechten der IDE. Der Angreifer musste das Claude-Modell selbst nicht kompromittieren. Es genügte, Code in einen vertrauenswürdigen Vertriebskanal einzuschleusen, zumal sich Erweiterungen automatisch aktualisieren können.

Die Namen von Umgebungsvariablen verraten nicht deren Werte, zeigen aber, welcher Rechner wertvolle Cloud-Zugänge oder API-Token enthalten könnte. Ein funktionierender SSH-Tunnel könnte danach Dateien, Repositorys und weitere für den Nutzer erreichbare Zugangsdaten öffnen.

Der Vorfall trennt Produktsicherheit von Vertriebssicherheit. Offizieller Quellcode kann sauber bleiben, während ein verifiziertes Konto und ein Marketplace ein weiteres Kettenglied bilden. Dieses Glied versagte. Weder Cursor noch Anthropic haben öffentlich erklärt, wie das Konto übernommen wurde.

Fehler im Schadcode begrenzten den Zugriff, beseitigten aber keine Spuren

Das Aktivieren eines SSH-Dienstes verlangt gewöhnlich Administratorrechte. Cursor zufolge scheiterte deshalb der Versuch eines vollständig funktionsfähigen Tunnels auf den meisten macOS- und Windows-Rechnern. Auch der Steuerungsserver ist offline. Das senkt die Wahrscheinlichkeit eines Fernzugriffs, macht Änderungen auf dem Datenträger jedoch nicht rückgängig.

Das Paket konnte weiterhin den fremden Schlüssel ergänzen, eigenständige Persistenzskripte ablegen und ein Profil des Rechners senden. Die Installation der sicheren Version 2.1.314 oder die Deinstallation der Erweiterung entfernt diese Artefakte nicht automatisch. Cursor empfiehlt, nach svc-telemetry zu suchen, betroffene Geräte zu isolieren und Zugangsdaten von einem vertrauenswürdigen Rechner aus zu rotieren.

Die Erklärung der Kontoübernahme entscheidet über das Vertrauen

Entscheidend fehlt die Information, wie der Angreifer das verifizierte Vertriebskonto erreichte. Ohne sie lässt sich nicht beurteilen, ob eine Schlüsselrotation das Problem schließt oder ob dieselbe Schwäche weitere Publisher bedroht. Cursor beschreibt Payload und Bereinigung der Endgeräte bisher genauer als den Ursprung der Kompromittierung.

Als Nächstes zählen exakte Installationszahlen, bestätigte Ausführungen des Payloads und erfolgreiche Verbindungen. Unternehmen sollten Installationen von Erweiterungen inzwischen wie neue Produktionsabhängigkeiten überwachen. Ein Marketplace-Abzeichen bestätigt den angezeigten Publisher, nicht die Sicherheit jedes Updates.

Liliths Urteil

Das verifizierte Abzeichen hielt die Tür auf, während das automatische Update einen fremden SSH-Schlüssel hereintrug. Ein Marketplace ohne Erklärung der Kontoübernahme verkauft Vertrauen ohne Quittung.