Bösartige Version der Claude-Code-Erweiterung verteilte SSH-Hintertüren über den Cursor-Marktplatz
2. November 2026 · 3 Min. Lesezeit
Eine bösartig veränderte Version der Claude-Code-Erweiterung von Anthropic wurde am 29. Oktober für etwa elf Stunden über den Erweiterungsmarktplatz des Code-Editors Cursor verbreitet. Dieser Vorfall setzte bis zu 5.000 Entwickler einer Malware aus, die darauf ausgelegt war, persistente SSH-Hintertüren auf den betroffenen Systemen zu installieren. Die kompromittierte Paketversion trug die Versionsnummer 2.1.313 und war zwischen 2:27 Uhr und 13:35 Uhr pazifischer Zeit verfügbar.
Der Editor Cursor basiert auf dem offenen Quellcode von Visual Studio Code von Microsoft und unterstützt dessen Erweiterungen. Die Claude-Code-Erweiterung von Anthropic integriert einen KI-gestützten Coding-Assistenten direkt in kompatible Editoren, um Entwicklern beim Schreiben und Debuggen von Code mittels natürlicher Sprache zu helfen. Laut Aussagen von Cursor wurde die bösartige Erweiterung nicht von Anthropic selbst entwickelt. Das Unternehmen erklärte jedoch nicht, wie Angreifer das kompromittierte Paket unter dem Namen von Anthropic verbreiten konnten.
Forscher von Phorion und OpenSourceMalware entdeckten, dass die Angreifer einen bösartigen JavaScript-Lader am Anfang der Datei extension.js der Erweiterung einfügten, während der legitime Code der Erweiterung ansonsten unverändert blieb. Dieser schädliche Code wird ausgeführt, sobald die Erweiterung lädt, ohne dass eine Interaktion des Benutzers mit Claude-Code erforderlich ist. Bei der Installation führt die bösartige Erweiterung mehrere Aktionen auf den kompromittierten Systemen durch, wobei der primäre Zweck die Einrichtung eines persistenten Zugriffs war.
Trotz der bösartigen Absicht verhinderten Programmfehler in den SSH-Einrichtungsroutinen der Malware wahrscheinlich, dass die Angreifer auf vielen betroffenen Windows- und macOS-Systemen Fernzugriff erlangten. Die Fehler verhinderten, dass die Malware SSH auf Maschinen aktivierte, auf denen es nicht bereits lief, wodurch der Reverse-Tunnel keinen Zugriff auf das kompromittierte Gerät gewähren konnte. Auf macOS versuchte die Malware zwar, den Status der Remote-Anmeldung über den Befehl systemsetup -getremotelogin zu prüfen, führte diesen jedoch ohne erhöhte Privilegien aus. Anstatt den Status des SSH-Dienstes zurückzugeben, erzeugte der Befehl einen Fehler wegen fehlender Administratorrechte. Da die Malware SSH nur aktivieren wollte, wenn die Ausgabe den Wert "Aus" enthielt, übersprang sie den Aktivierungsschritt vollständig.
Unter Windows versuchte die Malware, den OpenSSH-Server über PowerShell zu installieren und zu starten, nutzte dafür jedoch /bin/sh, eine Unix-Shell, die auf Standard-Windows-Installationen nicht verfügbar ist. Aus diesem Grund schlug die SSH-Einrichtung fehl. In beiden Fällen konnte die Malware zwar ihre SSH-Schlüssel installieren, Persistenz herstellen und versuchen, den Reverse-Tunnel zu erstellen. Wenn der SSH-Server jedoch nicht bereits lief, konnte der Tunnel keinen Zugriff auf den kompromittierten Rechner bieten.
Selbst wenn die SSH-Hintertür scheiterte, sandte die Malware Aufklärungsdaten an den Server der Angreifer. Zu diesen Daten gehörten der Benutzername des Opfers, der Hostname, die öffentliche IP-Adresse, die Git-E-Mail-Adresse sowie Namen von Umgebungsvariablen, die mit sensiblen Anmeldeinformationen verknüpft sind. Das Skript stahl jedoch keine Anmeldeinformationen direkt, was darauf hindeutet, dass die Angreifer beabsichtigten, sensible Daten manuell abzurufen, nachdem sie Zugriff über den SSH-Tunnel erlangt hatten.
Cursor entfernte die bösartige Erweiterung und schaltete seinen gesamten Marktplatz vorübergehend ab, um andere Erweiterungen zu prüfen und alle Zugriffsschlüssel zu rotieren, bevor der Dienst wieder verfügbar gemacht wurde. Das Unternehmen arbeitete zudem mit dem Hosting-Anbieter zusammen, um den Server der Angreifer offline zu nehmen, was sowohl die Reverse-SSH-Verbindungen als auch die Übertragung der Aufklärungsdaten unterbrach. Nach einer internen Untersuchung gab Cursor an, keine Beweise dafür gefunden zu haben, dass andere Erweiterungsversionen oder die offizielle Verteilung betroffen waren. Nutzer, die das Paket während des Expositionszeitraums heruntergeladen haben, sollten auf das Vorhandensein eines SSH-Schlüssels namens 'svc-telemetry' prüfen und bei bestätigter Auswirkung die Remediation-Anweisungen von Cursor befolgen. Für betroffene Maschinen wird empfohlen, diese zu isolieren, zugängliche Geheimnisse zu rotieren, Sitzungen zu invalidieren und die betroffene Umgebung aus sicheren Backups neu aufzubauen.
Während erste Berichte nahelegten, dass auch npm, Open VSX und der Visual Studio Code Marketplace von Microsoft betroffen seien, wurde später bestätigt, dass Cursor die einzige Quelle für die Verteilung der bösartigen Erweiterung war. Viele Fragen zur Lieferkettenattacke bleiben jedoch unbeantwortet, darunter wie die Bedrohungsakteure eine bösartige Erweiterung unter dem Namen von Anthropic auf dem Marktplatz von Cursor veröffentlichen konnten und ob die Systeme von Cursor oder Anthropic während des Vorfalls kompromittiert wurden.