Trojanisierte Claude Code-Erweiterung zielt auf Cursor-Nutzer mit SSH-Hintertür

Am 29. Oktober 2026 identifizierten Cybersecurity-Forscher eine trojanisierte Version der offiziellen Claude Code-Erweiterung von Anthropic, die über den Cursor IDE-Marktplatz verteilt wurde. Das schädliche Update, das sich als legitime Version 2.1.313 ausgab, versuchte, eine persistente SSH-Hintertür auf betroffenen Systemen zu installieren, bevor Cursor seinen Marktplatz abschaltete, um die Sicherheitsverletzung einzudämmen.

Was passiert ist

Angreifer injizierten einen schädlichen Loader in das Haupt-JavaScript-Bundle der Claude Code-Erweiterung und verteilten sie unter der legitimen Publisher-Identität und Erweiterungs-ID von Anthropic. Dieser Supply-Chain-Angriff richtete sich gezielt gegen Nutzer der Cursor IDE; es gibt keine Hinweise darauf, dass das kompromittierte Paket den Microsoft VS Code Marketplace oder Open VSX erreicht hat. Cursor bestätigte, dass während des kurzen Zeitraums, in dem die schädliche Version verfügbar war, maximal 5.000 Nutzer betroffen waren.

Der Vorfall ereignete sich zwischen etwa 2:27 Uhr und 13:35 Uhr Pacific Time am 29. Oktober 2026. Nach der Erkennung suspendierte Cursor seinen Marktplatz vorübergehend, um das kompromittierte Paket zu entfernen, und begann, betroffene Nutzer direkt zu benachrichtigen. Anthropic veröffentlichte anschließend Version 2.1.314 über offizielle Kanäle, um die kontaminierte Build-Version zu ersetzen. Die genaue Methode, mit der Angreifer den Code in die Pipeline für legitime Erweiterungen einschleusten, bleibt unklar und wirft Fragen zur Sicherheit von Drittanbieter-Vertriebskanälen für Entwickler-Tools auf.

Jenn Gile, Mitbegründerin von OpenSourceMalware, stellte fest, dass sich das Paket als die authentische anthropic.claude-code-Erweiterung ausgab, jedoch einen 66 Zeilen langen schädlichen Loader enthielt, der vor dem legitimen Code eingefügt wurde. Diese Technik ermöglicht es der Malware, ihre Payload auszuführen, während sie weiterhin die erwartete Funktionalität bereitstellt, was die Erkennung für Nutzer erschwert, die die zugrunde liegende Code-Struktur nicht überprüfen.

Funktionsweise

Die schädliche Erweiterung wird beim Start von VS Code aktiviert sowie wenn ihre Webview geöffnet wird. Sie versucht sofort, einen angreiferkontrollierten SSH-Schlüssel in die Datei ~/.ssh/authorized_keys des Nutzers einzufügen und ihn als "svc-telemetry" zu kennzeichnen, um sich unauffällig neben legitimen Service-Accounts zu tarnen. Anschließend versucht die Malware, den lokalen SSH-Dienst zu aktivieren und einen Reverse-Tunnel zum Command-and-Control-Server unter 134.209.82[.]225 herzustellen.

Um Persistenz sicherzustellen, installiert die Malware plattformspezifische Mechanismen: geplante Aufgaben (Scheduled Tasks) unter Windows, Crontab-Einträge unter Linux und LaunchAgents unter macOS. Zudem sendet sie Reconnaissance-Daten über unverschlüsseltes HTTP auf Port 8099 an den Server des Angreifers. Während die Aktivierung von SSH Administratorrechte erfordert, die auf vielen macOS- und Windows-Hosts scheitern könnten, gelingt es der Malware dennoch, den SSH-Schlüssel hinzuzufügen und Persistenz unabhängig vom Berechtigungslevel zu etablieren.

Der Beacon überträgt sensible Host-Informationen, einschließlich öffentlicher IP-Adresse, Hostname, Betriebssystem und CPU-Architektur. Entscheidend ist, dass er die Namen von bis zu 40 Umgebungsvariablen exfiltriert, die Schlüsselwörter wie KEY, TOKEN, SECRET, PASS, AWS oder GCP enthalten. Obwohl die Werte im initialen Beacon nicht gesendet werden, verraten die Variablennamen das Vorhandensein von Cloud-Credentials und CI-Systemkonfigurationen und bieten damit eine Roadmap für weitere Exploits, falls SSH-Zugriff erlangt wird.

Wichtige Details

• Betroffene Version: Nur die über den Cursor Marketplace vertriebene Version 2.1.313 war kompromittiert; Versionen im Microsoft VS Code Marketplace und auf Open VSX waren nicht betroffen.
• Ausmaß der Auswirkungen: Maximal 5.000 Nutzer installierten das schädliche Update zwischen 2:27 Uhr und 13:35 Uhr Pacific Time am 29. Oktober 2026.
• Persistenzmechanismus: Die Malware nutzt geplante Aufgaben, Crontabs und LaunchAgents, um den Zugriff nach Neustarts auf Windows, Linux und macOS aufrechtzuerhalten.
• Datenexfiltration: Sendet Reconnaissance-Daten des Hosts und Namen von Umgebungsvariablen an 134.209.82[.]225:8099 über unverschlüsseltes HTTP.
• SSH-Hintertür: Versucht, einen angreiferkontrollierten Schlüssel mit der Bezeichnung "svc-telemetry" in ~/.ssh/authorized_keys hinzuzufügen und einen Reverse-Tunnel einzurichten.
• Abhilfe: Anthropic hat die saubere Version 2.1.314 veröffentlicht; Cursor kontaktiert betroffene Nutzer direkt.

Warum das wichtig ist

Dieser Vorfall unterstreicht die Risiken, die mit der Abhängigkeit von Drittanbieter-Marktplätzen für kritische Entwickler-Tools einhergehen. Selbst wenn der ursprüngliche Softwareanbieter einen guten Ruf genießt, kann der Vertriebskanal zum Single Point of Failure werden. Für Engineering-Teams betont dies die Notwendigkeit rigoroser Supply-Chain-Sicherheitspraktiken, einschließlich der Überprüfung von Checksummen und der Überwachung auf unerwartete Updates in automatisierten Pipelines. Die Tatsache, dass die Malware eine legitime Update-ID imitierte, macht sie besonders gefährlich für Nutzer, die Auto-Updates aktiviert haben.

Der Diebstahl von Namen von Umgebungsvariablen stellt eine erhebliche Bedrohungsvektor für moderne Cloud-native Entwicklung dar. Zwar stahlen die Angreifer nicht unmittelbar die Wert der Credentials, doch das Wissen darüber, welche Secrets in der Umgebung eines Entwicklers existieren, ermöglicht gezieltes Phishing oder weitere Exploits, falls die SSH-Hintertür erfolgreich ist. Für technische Leads dient dies als Erinnerung daran, Least-Privilege-Prinzipien durchzusetzen und Credentials regelmäßig zu rotieren, insbesondere solche, die in lokalen Umgebungsvariablen gespeichert sind.

Was Sie tun können

• Installation prüfen: Überprüfen Sie, ob Sie Claude Code Version 2.1.313 aus dem Cursor Marketplace zwischen 2:27 Uhr und 13:35 Uhr Pacific Time am 29. Oktober 2026 installiert haben.
• Betroffene Hosts isolieren: Wenn Sie eine Infektion vermuten, trennen Sie den Rechner vom Netzwerk, um weitere Datenexfiltration oder Remote-Zugriffe zu verhindern.
• Schädliche Artefakte entfernen: Löschen Sie den unbefugten SSH-Schlüssel mit der Bezeichnung "svc-telemetry" aus ~/.ssh/authorized_keys und entfernen Sie alle unbekannten geplanten Aufgaben, Crontabs oder LaunchAgents.
• Credentials rotieren: Rotieren Sie unverzüglich alle API-Keys, Tokens und Secrets, die in Umgebungsvariablen gespeichert sind, insbesondere jene im Zusammenhang mit AWS, GCP oder CI-Systemen.
• Auf sichere Version aktualisieren: Installieren Sie die saubere Version 2.1.314 von Anthropic über den Microsoft VS Code Marketplace oder Open VSX anstelle des Cursor Marketplace.
• Anomalien überwachen: Prüfen Sie Netzwerklogs auf ausgehende Verbindungen zu 134.209.82[.]225 und überwachen Sie SSH-Logs auf unbefugte Login-Versuche.