Am 29. Oktober hat Cursor einen Sicherheitshinweis veröffentlicht: Im VS-Code-Erweiterungsmarkt des Unternehmens tauchte eine manipulierte Version Anthropic.claude-code 2.1.313 auf. Sie stammt nicht von Anthropic und wurde von bis zu etwa 5.000 Nutzern heruntergeladen. Cursor hat die Version entfernt, den gesamten Erweiterungsmarkt zeitweise abgeschaltet, eigene Schlüssel rotiert und den Markt neu aufgebaut wieder online genommen. Betroffene Nutzer will das Unternehmen einzeln kontaktieren.
Nach den Zeitangaben im Hinweis war die schädliche Version ab etwa 2:27 Uhr Pazifischer Zeit am selben Tag herunterladbar und wurde erst um 13:35 Uhr zurückgezogen, also rund 11 Stunden später. Cursor erklärt, bei der offiziellen Version und den übrigen Erweiterungen im Markt gebe es derzeit keine Anzeichen für Veränderungen.
Was die Erweiterung nach der Installation tut
Zuerst sammelt die Erweiterung eine Reihe von Host-Informationen: Hostname, Benutzername, Betriebssystem und Architektur, Pfad des Home-Verzeichnisses, die Namen der Umgebungsvariablen, das aktuelle Arbeitsverzeichnis, die Git-E-Mail-Adresse und die öffentliche IP. Per HTTP-POST schickt sie diese an den Endpunkt /beacon auf Port 8099 des Angreifer-Servers.
Danach versucht sie, eine dauerhafte Hintertür einzurichten: Sie schreibt den öffentlichen SSH-Schlüssel des Angreifers in authorized_keys, aktiviert den lokalen SSH-Dienst und baut einen umgekehrten SSH-Tunnel zurück zum Angreifer auf. Unter macOS sorgt ein LaunchAgent für Persistenz. Unter Windows versucht sie, eine geplante Aufgabe als SYSTEM zu registrieren, und weicht bei einem Fehlschlag auf ein Startskript aus. Ein Hintergrundskript unternimmt etwa alle 60 Sekunden einen neuen Tunnelversuch.
Der Code der Angreifer ist selbst fehlerhaft. Wenn Cursor nicht mit Administratorrechten gestartet wurde, scheitert der Tunnelaufbau meist. Der Angreifer-Server wurde zudem vom Hoster abgeschaltet, sodass weder Tunnel noch Datenübermittlung derzeit erreichbar sind. Cursor warnt jedoch: Ein nicht zustande gekommener Tunnel heißt nicht, dass alles in Ordnung ist. Der öffentliche Schlüssel, die Persistenzskripte und bereits gesendete Host-Informationen können sämtlich schon angekommen sein.
"Uninstalling the extension may not be sufficient — the payload drops standalone persistence scripts that keep running." (Das Deinstallieren der Erweiterung reicht möglicherweise nicht aus, denn die Nutzlast legt eigenständige Persistenzskripte ab, die weiterlaufen.)
Was Nutzer prüfen sollten
Die Prüfanleitung im Hinweis ist ziemlich direkt: In der Liste der autorisierten SSH-Schlüssel nachsehen, ob ein öffentlicher Schlüssel namens svc-telemetry vorhanden ist; in Terminal-, Netzwerk- und Erweiterungs-Installationsprotokollen nach den genannten IPs, Ports und den Hashes der beiden VSIX-Dateien suchen (getrennt nach macOS arm64 und Windows x64). Rechner mit Ausführungsspuren zuerst isolieren, mit dem offiziellen Skript Schlüssel, Persistenzeinträge und Tunnelprozesse entfernen und im Zweifel neu installieren.
Der letzte Punkt wird am leichtesten übersprungen: Alle Zugangsdaten und Sitzungen, auf die dieser Rechner zugreifen konnte, müssen ausgetauscht werden, und zwar auf einem sauberen Gerät. Laut Cursor hat die Erweiterung nur die Namen der Umgebungsvariablen gelesen, nicht deren Werte. Ist die Hintertür aber erst einmal offen, kann sich der Angreifer die Werte später jederzeit holen.
Programmierwerkzeuge als Ziel von Lieferkettenangriffen
Der Blick auf das vergangene Jahr zeigt: Lieferkettenvorfälle rund um KI-Programmierwerkzeuge reißen nicht ab. Wir haben über die Vergiftung von LiteLLM 1.107.0 berichtet, die gezielt Schlüssel für KI-Dienste abgreifen sollte, und über eine Lücke in einem VS-Code-Plugin, durch die 3.800 GitHub-Repositories abgeflossen sind. Diesmal haben die Angreifer sich den Namen Claude Code ausgesucht: Er hat eine große Verbreitung, und Nutzer sind es gewohnt, ihm Terminal- und Dateirechte zu geben, der Gewinn durch Nachahmung ist also hoch.
Editoren wie Cursor und Windsurf, die auf VS Code aufbauen, dürfen den offiziellen Erweiterungsmarkt von Microsoft nicht direkt nutzen. Sie können nur Open VSX anbinden oder einen eigenen Vertriebskanal aufbauen, und Prüfung sowie Signierung fallen je nach Anbieter unterschiedlich aus. Anthropic hat sich zu dem Vorfall bislang nicht öffentlich geäußert. Auch wie die gefälschte Version unter dem Namen des offiziellen Herausgebers veröffentlicht werden konnte, hat Cursor nicht erklärt. Solange diese Lücke nicht geschlossen ist, könnten auch andere beliebte Erweiterungen auf dieselbe Weise nachgeahmt werden.
Für Entwickler in China ist das relevant: Cursor hat dort viele Nutzer, und auf Rechnern in Firmennetzen ist solch ein Editor ebenfalls oft installiert. Wer die Claude-Code-Erweiterung um den 29. Oktober herum aktualisiert hat, kann sich mit den obigen Schritten mit sehr geringem Aufwand Gewissheit verschaffen.
Quellen: Sicherheitshinweis von Cursor (zur Prüfung der betroffenen Versionsnummer, des Download-Zeitfensters und der Obergrenze von 5.000 Nutzern), CocoLoop, die dem Cursor-Hinweis beigefügte Liste der Kompromittierungsindikatoren (zur Prüfung von Port, Wiederholungsintervall und der beiden VSIX-Hashes).