Cursor: Gefälschte Version der Claude-Code-Erweiterung versuchte SSH-Hintertür bei bis zu 5 000 Nutzern zu installieren

Cursor hat am Freitag, dem 30. Oktober, um 8:46 Uhr Pariser Zeit einen Sicherheitsvorfall im Erweiterungs-Marktplatz seines Code-Editors publik gemacht. Eine modifizierte Version der Erweiterung Claude Code für VS Code, die unter der Kennung Anthropic.claude-code in der Version 2.1.313 veröffentlicht wurde, stand dort während eines Teils des 29. Oktober zum Download bereit. Sie stammte nicht von Anthropic, betont Cursor, und versuchte, eine SSH-Hintertür auf den Rechnern von Entwicklern einzurichten. Höchstens 5 000 Nutzer sind betroffen.

Was die manipulierte Erweiterung tat

Laut dem von Cursor veröffentlichten Sicherheitsbericht war die bösartige Version am 29. Oktober zwischen etwa 2:27 Uhr und 13:35 Uhr pazifischer Zeit erreichbar, was 10:27 Uhr bis 21:35 Uhr Pariser Zeit entspricht. Einmal installiert, führte sie folgende Aktionen aus:

• Sie sammelte Daten über den Rechner: Hostname, Benutzername, Betriebssystem, Architektur, Benutzerverzeichnis, Namen der Umgebungsvariablen, Arbeitsverzeichnisse, in Git konfigurierte E-Mail-Adresse und öffentliche IP-Adresse;
• Sie versuchte, einen vom Angreifer kontrollierten SSH-Schlüssel in die Datei authorized_keys einzutragen, den lokalen SSH-Dienst zu aktivieren und einen SSH-Reverse-Tunnel zu einem Server des Angreifers aufzubauen;
• Sie sorgte für eine dauerhafte Persistenz dieses Tunnels über einen LaunchAgent unter macOS oder eine geplante Aufgabe unter Windows, gesteuert durch Skripte, die den Verbindungsaufbau etwa alle 60 Sekunden erneut anstießen;
• Sie übertrug die gesammelten Informationen und den Status der Hintertür an den Server des Angreifers.

Cursor schränkt die Tragweite an einem zentralen Punkt ein: Um den SSH-Dienst zu aktivieren, sind Administratorrechte erforderlich, über die die Erweiterung auf den meisten macOS- und Windows-Rechnern nicht verfügt. Auf diesen Systemen schlägt dieser Schritt fehl, sodass sich der Angreifer nicht über den Tunnel einloggen konnte. Der Schlüssel, die Persistenzmechanismen und das Versenden der Daten wurden jedoch dennoch eingerichtet, und ein bloßes Deinstallieren der Erweiterung reicht nicht aus, da eigenständige Skripte im System verbleiben. Der Server des Angreifers wurde inzwischen mit Unterstützung des Hosters vom Netz genommen.

Die Reaktion von Cursor

Cursor gibt an, die Version unmittelbar nach der Entdeckung entfernt und anschließend vorsorglich den gesamten Erweiterungs-Marktplatz geschlossen zu haben. Das Unternehmen erklärt, Zugriffsdaten auditiert zu haben, ohne weitere veränderte Erweiterungen festzustellen, interne Schlüssel rotiert zu haben sowie den Marktplatz neu aufgesetzt und wieder freigeschaltet zu haben. Es gebe keine Hinweise darauf, dass andere Versionen der Erweiterung oder die offizielle Distribution von Claude Code betroffen seien. Man werde die betroffenen Nutzer direkt benachrichtigen.

Was Betroffene jetzt tun sollten

Cursor fordert alle Kunden auf, auf die Version 2.1.314 von Claude Code für VS Code umzusteigen. Wer die Erweiterung während des fraglichen Zeitfensters am 29. Oktober über den Cursor-Marktplatz installiert oder aktualisiert hat, sollte das eigene System prüfen: Der Bericht liefert sowohl für macOS als auch für Windows einen Befehl, der nach dem Schlüssel des Angreifers (erkennbar am Kommentar svc-telemetry) in den autorisierten SSH-Schlüsseln sucht. Ist dieser vorhanden, empfiehlt Cursor, das System zu isolieren, die bereitgestellten Bereinigungsskripte auszuführen, eine Neuinstallation des Systems in Betracht zu ziehen und Passwörter, Schlüssel sowie Sitzungen, auf die von dem betroffenen Rechner aus zugegriffen werden konnte, von einem anderen Gerät aus zu ändern. Der Sicherheitsbericht von Cursor enthält zudem detaillierte Indikatoren (Paket-Hashes, Dateipfade, Prozessnamen), die Sicherheitsteams zur Analyse nutzen können.

Was bislang unklar bleibt

Cursor erklärt nicht, wie eine manipulierte Version unter dem Anbieternamen Anthropic im eigenen Marktplatz veröffentlicht werden konnte, noch wie viele Rechner den Schlüssel des Angreifers tatsächlich übernommen haben: Die Zahl von 5 000 stellt lediglich eine Obergrenze dar.