Ein vertrauenswürdiger Name verbarg einen vergifteten Download
Eine vergiftete Claude Code-Erweiterung, die über den Cursor-Marktplatz und nicht über die offiziellen Kanäle von Anthropic verbreitet wurde, gefährdete bis zu 5.000 Nutzer. Dies war kein Kompromiss bei Anthropic; vielmehr nutzte ein Angreifer den Cursor-Store, um manipulierte Builds zu verbreiten.
Der bösartige Eintrag erschien unter dem Namen von Anthropic und zielte auf Mac- und Windows-Nutzer ab. Dieses täuschende Branding erzeugte ein falsches Gefühl von Legitimität und überzeugte die Nutzer davon, dass sie eine offizielle Version herunterluden.
Die manipulierte Erweiterung war am 29. Oktober 2026 für etwa 11 Stunden live, von 02:27 Uhr bis 13:35 Uhr PDT. In diesem Zeitraum schätzt Cursor, dass bis zu 5.000 Entwickler der Backdoor ausgesetzt gewesen sein könnten.
Der Angreifer injizierte einen Immediately Invoked Function Expression (IIFE) in extension.js, was bedeutet, dass die Payload beim Laden ausgelöst wurde – es war kein interaktiver Befehl erforderlich. Sie exfiltrierte grundlegende Host-Telemetriedaten: öffentliche IP-Adressen, Benutzernamen und Git-Konfigurations-E-Mails.
Entscheidend ist, dass die Backdoor einen vom Angreifer kontrollierten SSH-Public-Key in authorized_keys einfügte. Sie plante außerdem wiederkehrende Aufgaben, um jede Minute einen ausgehenden SSH-Reverse-Tunnel zum Server des Angreifers zu öffnen, selbst wenn Cursor neu gestartet wurde. Obwohl Implementierungsfehler in der Payload die Ausführungsrate auf nicht privilegierten Maschinen minimierten, war die Bedrohung real und dauerhaft.
Die Erweiterung öffnete eine Tür jenseits des Editors
Die manipulierte Erweiterung war nicht untätig und aktivierte sich sofort beim Laden. Sie führte Node.js-Systemaufrufe aus, was bedeutet, dass Benutzer nicht einmal einen Claude Code-Befehl aufrufen mussten, damit die Payload ausgelöst wurde. Diese Backdoor sammelte schnell sensible Informationen: öffentliche IP-Adressen, Benutzernamen und Git-E-Mail-Adressen der Benutzer.
Über die Datenexfiltration hinaus fügte die Payload einen vom Angreifer kontrollierten SSH-Public-Key zu authorized_keys hinzu. Anschließend versuchte sie unermüdlich, einen ausgehenden SSH-Reverse-Tunnel zum Server des Angreifers (134.209.82[.]225) aufzubauen, wobei sie alle 60 Sekunden einen neuen Versuch unternahm. Diese Persistenz war darauf ausgelegt, Systemneustarts zu überstehen, ein klares Zeichen für einen ausgeklügelten Angriff.
Glücklicherweise legten Implementierungsfehler oft den gefährlichsten Aspekt des Angriffs lahm: den Reverse-Tunnel. Microsoft Threat Intelligence und Sophos berichteten, dass die Aktivierung des SSH-Dienstes häufig fehlschlug, es sei denn, Cursor wurde mit Administratorrechten ausgeführt. Der Command-and-Control (C2)-Server des Angreifers wurde ebenfalls schnell neutralisiert, was weiteren Schaden begrenzte.
Trotz dieser Fehler war das Risiko nicht vollständig gemindert. Die injizierten SSH-Keys und geplanten Persistenz-Skripte konnten dennoch lokale Artefakte auf betroffenen Maschinen hinterlassen. Benutzer, die zwischen dem 29. Oktober 2026 und der Entfernung der Erweiterung die trojanisierten Builds v2.1.312 oder v2.1.313 heruntergeladen haben, waren einer potenziellen Kompromittierung ausgesetzt, selbst wenn der Tunnel nie vollständig verbunden wurde.
Warum eine Deinstallation die Gefahr zurücklassen kann
Das Deinstallieren der kompromittierten Claude Code-Erweiterung aus Cursor bietet ein falsches Gefühl von Sicherheit. Die Backdoor war auf Persistenz ausgelegt, was bedeutet, dass das bloße Entfernen der sichtbaren Erweiterung die Maschine nicht bereinigt. Bösartige Artefakte, einschließlich geplanter Aufgaben (Cron-Jobs, Plist-Dateien oder geplante Windows-Aufgaben) und nicht autorisierte Einträge in der authorized_keys-Datei, bleiben eingebettet.
Angreifer fügten ihren öffentlichen SSH-Schlüssel zu den authorized_keys der Benutzer hinzu und etablierten so einen dauerhaften Zugriff. Die Payload plante zudem wiederkehrende Versuche, alle 60 Sekunden einen ausgehenden SSH-Reverse-Tunnel zu öffnen. Dies stellt einen fortwährenden Zugriff selbst nach einer Deinstallation sicher und hinterlässt eine unbemerkte, offene Tür.
Um das Risiko wirksam zu mindern, müssen betroffene Benutzer den offiziellen Vorfallbericht von Cursor konsultieren und das bereitgestellte Detection Script verwenden. Dieses Skript hilft dabei, die eingeschleusten SSH-Schlüssel und Persistenzmechanismen zu identifizieren und zu entfernen. Für einen tieferen technischen Einblick in die Mechanismen des Angriffs siehe die Analyse von Microsoft: Inside a malicious Claude Code-branded extension and its persistent SSH backdoor | Microsoft Security Blog.
Zu den kritischen nächsten Schritten gehören proaktive Sicherheitsmaßnahmen. Ändern Sie alle Passwörter, SSH-Schlüssel und andere potenziell exponierte Geheimnisse. Führen Sie diese Änderungen von einem separaten, vertrauenswürdigen Gerät aus, um eine weitere Kompromittierung zu verhindern. Obwohl der C2-Server des Angreifers neutralisiert wurde und Implementierungsfehler den Erfolg des Reverse-Tunnels auf nicht privilegierten Rechnern begrenzten, bleibt die Gefahr durch eingeschleuste Anmeldedaten und exfiltrierte grundlegende Host-Telemetriedaten bestehen.
Gefällt Ihnen der Artikel? Erhalten Sie jeden Morgen einen wie diesen per E-Mail.
eine E-Mail pro Tag · Abmeldung mit zwei Klicks · kein Tracking durch Dritte
Der Vorfall legte eine Vertrauenslücke im Marketplace offen
Cursor reagierte schnell: Die bösartige Erweiterung wurde entfernt, der Store geschlossen, alle Produktionsschlüssel rotiert und die gesamte Infrastruktur neu aufgebaut, was schließlich zur Veröffentlichung der gepatchten Version v2.1.314 führte. Dieses entschlossene Handeln konnte die unmittelbare Bedrohung eindämmen, doch der Vertrauensschaden war bereits entstanden.
Anthropic bestätigte, dass ihre Systeme nicht betroffen waren; die offiziellen Claude Code-Distributionen auf dem Microsoft VS Code Marketplace, Open VSX und npm blieben sicher. Dies klärte den Umfang des Vorfalls und isolierte die Kompromittierung auf den proprietären Marketplace von Cursor und dessen spezifische Sicherheitslage.
Die Kernschwachstelle bleibt bestehen: Wie konnte ein Angreifer Veröffentlichungsrechte für den Cursor-Store erlangen, um die trojanisierten Builds v2.1.312 und v2.1.313 zu verbreiten? Diese unbeantwortete Frage deckt eine kritische Vertrauenslücke in Marktplätzen für Drittanbieter-Editoren auf.
Der Vorfall unterstreicht die dringende Notwendigkeit einer robusten Verifizierung von Herausgebern, einer obligatorischen Paketsignierung und strenger Sicherheitskontrollen innerhalb jeder Plattform, die Entwickler-Tools hostet. Ohne diese wird jeder Marktplatz zu einem potenziellen Vektor für Supply-Chain-Angriffe, wodurch vertrauenswürdige Erweiterungen zu einer Hintertür für bis zu 5.000 Entwickler werden.
Häufig gestellte Fragen
Welche Benutzer könnten von dem Vorfall mit der Cursor-Erweiterung betroffen sein?
Cursor-Benutzer, die die manipulierte Claude Code-Erweiterung während ihres etwa 11-stündigen Verfügbarkeitsfensters installiert oder automatisch aktualisiert haben, könnten betroffen sein. Die Schätzung beläuft sich auf bis zu 5.000 Benutzer.
Waren die offiziellen Claude Code-Releases von Anthropic kompromittiert?
Nein. Anthropic teilte mit, dass ihre Systeme nicht kompromittiert wurden und die offiziellen Releases auf dem Microsoft Visual Studio Marketplace, Open VSX und npm nicht betroffen waren.
Reicht die Deinstallation der Erweiterung aus, um die Hintertür zu entfernen?
Nicht unbedingt. Persistenzmechanismen und ein nicht autorisierter SSH-Schlüssel könnten nach der Deinstallation bestehen bleiben. Daher sollten betroffene Benutzer die Erkennungsschritte von Cursor ausführen und ihre Systeme überprüfen.
Was sollten potenziell betroffene Entwickler zuerst tun?
Verwenden Sie ein separates, vertrauenswürdiges Gerät, um die Bereinigungsanleitung von Cursor zu prüfen, unbefugte Zugriffe zu entfernen und exponierte Anmeldedaten sowie Schlüssel zu rotieren.