Cursor hat eine bösartige Version der Claude Code-Erweiterung von Anthropic aus seinem Erweiterungsmarktplatz entfernt, nachdem festgestellt wurde, dass das Paket geändert wurde, um eine dauerhafte SSH-Hintertür auf Entwicklercomputern zu installieren. In einer am 29. Oktober veröffentlichten Sicherheitsmitteilung sagte Cursor, dass das trojanisierte Paket – aufgeführt als Anthropic.claude-code Version 2.1.313 – nicht von Anthropic entwickelt wurde und dass höchstens 5.000 Benutzer betroffen seien. Laut Reuters wendet sich das Unternehmen direkt an diese Nutzer.

Die Offenlegung ist eine erschütternde Erinnerung daran, dass die KI-Codierungstools, denen die Entwickler jetzt ihren Quellcode, ihre Anmeldeinformationen und ihren Shell-Zugriff anvertrauen, selbst Ziele in der Lieferkette sind. Weitere Informationen zum Sicherheitsdruck rund um KI-Entwicklertools finden Sie in unserer KI-Branchenberichterstattung.

Ein zweistündiges Verteilungsfenster

Laut Cursors Zeitleiste war die bösartige Version der Erweiterung zwischen etwa 2:27 Uhr PT und 13:35 Uhr PT auf dem Marktplatz verfügbar. PT am 29. Oktober – ein Zeitfenster von etwa elf Stunden. Während dieses Zeitraums erhielt jeder Entwickler, der die Claude Code-Erweiterung auf Version 2.1.313 installierte oder auf diese aktualisierte, das manipulierte Paket und nicht den von Anthropic erstellten Code.

Cursor sagte, es habe die bösartige Version sofort nach der Entdeckung vom Markt entfernt und die weitere Verbreitung blockiert. Das Unternehmen ging dann noch einen Schritt weiter und schloss vorübergehend seinen gesamten Erweiterungsmarkt aus Vorsicht.

Was die bösartige Erweiterung bewirkt hat

Das Sicherheitsteam von Cursor hat das Verhalten der Erweiterung ungewöhnlich detailliert dokumentiert. Nach der Installation führte das Paket Code aus, der in mehreren Phasen versuchte, eine dauerhafte Hintertür einzurichten:

  • Aufklärung. Die Erweiterung erfasste den Hostnamen, den Benutzernamen, das Betriebssystem, die Architektur, den Home-Verzeichnispfad, die Namen der Umgebungsvariablen, die Arbeitsverzeichnisse, die konfigurierte Git-E-Mail-Adresse und die öffentliche IP-Adresse der Maschine.
  • SSH-Schlüsselinjektion. Es wurde versucht, einen vom Angreifer kontrollierten SSH-Schlüssel zur Datei „authorized_keys“ des Computers hinzuzufügen, den lokalen SSH-Dienst zu aktivieren und einen umgekehrten SSH-Tunnel zurück zu einem vom Angreifer kontrollierten Server zu öffnen.
  • Persistenz. Hintergrundskripte versuchten den Rückwärtstunnel etwa alle 60 Sekunden erneut. Unter macOS versuchte die Malware, den Tunnel über einen LaunchAgent dauerhaft zu machen; Unter Windows wurde versucht, eine geplante Aufgabe zu registrieren, die als SYSTEM ausgeführt wurde, mit einem Startskript-Fallback.
  • Beaconing. Der infizierte Computer meldete Hostdetails und den Backdoor-Status über eine HTTP-POST-Anfrage an einen „/beacon“-Endpunkt auf Port 8099.

Warum der Schaden begrenzt sein kann

Es gibt zwei wichtige mildernde Faktoren. Erstens erfordert die Aktivierung des lokalen SSH-Dienstes Administratorrechte, über die die bösartige Erweiterung auf den meisten macOS- und Windows-Rechnern nicht verfügt. Cursor stellte fest, dass dieser Schritt, abgesehen von äußerst ungewöhnlichen Umständen, bei denen der Editor mit Administratorrechten gestartet wurde, aufgrund von Fehlern im Schadcode fehlschlug – was bedeutete, dass sich der Angreifer wahrscheinlich nicht über den Tunnel auf diesen Hosts anmelden konnte. Die Erweiterung schaffte es jedoch immer noch, den SSH-Schlüssel des Angreifers hinzuzufügen, ihre Persistenzmechanismen zu installieren und Hostdetails an den Server des Angreifers zu senden.

Zweitens ist die Infrastruktur des Angreifers jetzt offline. Cursor sagte, es habe mit dem Cloud-Anbieter, der den Command-and-Control-Server hostet, zusammengearbeitet, um ihn herunterzufahren, sodass die Reverse-Shell und der Host-Detail-Beacon nicht mehr funktionsfähig seien.

Das Unternehmen gab außerdem an, dass es keine Beweise dafür habe, dass andere Versionen der Erweiterung oder die offiziellen Vertriebskanäle von Anthropic betroffen seien.

Herunterfahren, Prüfen und Neuaufbau des Marktplatzes

Die Antwort von Cursor ging über das Entfernen des einzelnen fehlerhaften Pakets hinaus. Das Unternehmen sagte, es habe eine vollständige Prüfung des Marktplatzzugangs durchgeführt und bestätigt, dass keine anderen Erweiterungen manipuliert worden seien, habe seine Schlüssel rotiert, die Marktplatz-Infrastruktur neu aufgebaut und sie wieder online geschaltet. Entwickler, die während des Offenlegungsfensters Version 2.1.313 installiert oder darauf aktualisiert haben, werden aufgefordert, die von Cursor zusammen mit seiner Mitteilung veröffentlichten Behebungsschritte und Gefährdungsindikatoren zu befolgen – einschließlich SSH-Aktivität, Dateien und Persistenzmechanismen sowie Prozessaktivität.

Ein Warnschuss für das KI-Tooling-Ökosystem

Der Vorfall veranschaulicht, wie die Wirtschaftlichkeit der KI-gestützten Entwicklung die Kalkulation für Angreifer verändert hat. Eine einzelne mit einem Trojaner infizierte Version einer beliebten Erweiterung, die nur wenige Stunden lang aktiv war, erreichte möglicherweise Tausende von Entwicklerarbeitsplätzen – Maschinen, die normalerweise Quellcode, Cloud-Anmeldeinformationen und Zugriff auf Produktionssysteme enthalten.

Es verdeutlicht auch den Unterschied zwischen offiziellen Vertriebskanälen und Marktplätzen Dritter. Die Claude Code-Erweiterung von Anthropic wird über etablierte Kanäle vertrieben, Cursor betreibt jedoch einen eigenen Marktplatz für seinen VS-Code-basierten Editor, und die Auflistung dieses Marktplatzes wurde kompromittiert. Da KI-Codierungsassistenten in der gesamten Softwarebranche zur Standardausrüstung werden, wird die Integrität der Register, die sie verteilen, zu einem eigenständigen Sicherheitsbereich – einen, den bis zu dieser Woche nur relativ wenige Unternehmen prüfen wollten.

Für die bis zu 5.000 betroffenen Benutzer besteht die unmittelbare Priorität darin, die Abhilfe-Checkliste von Cursor durchzugehen. Für alle anderen ist die Episode ein Grund, zu überprüfen, welche Erweiterungen umfassenden Zugriff auf ihre Entwicklungsumgebungen haben, und zweimal darüber nachzudenken, bevor man ein Update stillschweigend installiert.
---

Der KI einen Schritt voraus sein

Erhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Weitere KI-Neuigkeiten lesen →