Update der Claude Code extension schleuste eine SSH backdoor ein
Ein schädliches Update der Claude Code extension, das über den extension-Marketplace von Cursor verbreitet wurde, versuchte, einem unbekannten Angreifer dauerhaften Fernzugriff auf betroffene Entwicklungssysteme zu verschaffen. Der überarbeitete Sicherheitshinweis von Cursor nennt die Versionen 2.1.312 und 2.1.313 für Windows und macOS als betroffen. Die nicht autorisierten Releases erschienen unter der legitimen extension-Kennung anthropic.claude-code und nicht als separates nachgeahmtes Package.
Cursor erklärte, der Vorfall habe höchstens 5.000 Benutzer betroffen, die die kompromittierte Software am 29. Oktober 2026 zwischen etwa 2:27 Uhr und 13:35 Uhr PT installierten. Das Unternehmen schloss seinen Marketplace vorübergehend, um das Package zu entfernen, und kündigte an, betroffene Benutzer direkt zu kontaktieren. Die Methode, mit der die veränderte extension unter der Identität von Anthropic veröffentlicht wurde, sowie der vollständige Umfang des vom Angreifer erlangten Zugriffs sind weiterhin unbekannt.
OpenSourceMalware stellte fest, dass sich Version 2.1.313 als legitimes Package ausgab, jedoch einen 66 Zeilen langen schädlichen Loader enthielt, der dem normalen extension-Code vorangestellt war. Der Loader wurde ausgeführt, sobald das extension-Modul geladen wurde, unter anderem nach dem Start von Visual Studio Code und beim Öffnen der webview der extension, eines in den Editor eingebetteten Panels. Anschließend fügte er der Datei ~/.ssh/authorized_keys, in der aufgeführt ist, welche Secure-Shell-Zugangsdaten (SSH) aus der Ferne auf ein Konto zugreifen dürfen, einen vom Angreifer kontrollierten Eintrag mit der Bezeichnung „svc-telemetry“ hinzu.
Der Code versuchte außerdem, den lokalen SSH-Dienst unter Windows, Linux und macOS zu aktivieren, einen reverse tunnel zu 134.209.82[.]225 einzurichten und persistence zu schaffen, damit er später erneut ausgeführt würde. Ein reverse tunnel ist eine ausgehende Verbindung, durch die ein Dienst auf dem betroffenen Computer von einem entfernten System aus erreichbar werden kann. Die Methode für persistence unterschied sich je nach Betriebssystem: Unter Windows wurde ein scheduled task, unter Linux crontab und unter macOS ein LaunchAgent verwendet.
Laut der Analyse von Cursor sind normalerweise Administratorrechte erforderlich, um den SSH-Dienst auf den meisten Windows- und macOS-Computern zu aktivieren. Auf Systemen, auf denen die extension nicht über diese Rechte verfügte, schlug dieser Schritt fehl und der Angreifer konnte sich nicht über den tunnel anmelden. Das Scheitern des Fernzugriffs hinderte den Loader jedoch nicht daran, den nicht autorisierten SSH-Eintrag hinzuzufügen, Startartefakte zu erstellen oder Informationen über den Computer zu senden. Microsoft wies ebenfalls darauf hin, dass ein erfolgreicher Zugriff von den Systemrechten, den SSH-Einstellungen und der Konfiguration des Servers des Angreifers abhing.
Die extension sendete über unverschlüsseltes HTTP einen beacon, also einen kurzen Bericht des infizierten Systems, an 134.209.82[.]225:8099/beacon. Der Bericht enthielt die über api.ipify[.]org ermittelte öffentliche IP-Adresse, den Hostnamen, den lokalen Benutzernamen, das Betriebssystem, die CPU-Architektur, das Home-Verzeichnis, das aktuelle Arbeitsverzeichnis und die globale Git-E-Mail-Adresse. Außerdem führte er die Namen von bis zu 40 environment variables auf, deren Namen KEY, TOKEN, SECRET, PASS, AWS oder GCP enthielten. environment variables sind Einstellungen, in denen Programme Konfigurationsdaten oder Zugangsdaten speichern können.
Forscher erklärten, dass der erste beacon nicht die in diesen Variablen gespeicherten Werte enthielt. Ihre Namen konnten dennoch erkennen lassen, welche Cloud-Anbieter, Continuous-Integration-Systeme oder Arten von Zugangsdaten konfiguriert waren. Wenn der entfernte SSH-Zugriff erfolgreich war, konnte der Betreiber das Konto direkt untersuchen, Befehle ausführen oder Dateien übertragen. Es wurden keine weiteren Payloads beobachtet.
Anthropic erklärte, dass weder seine Systeme noch die Laptops seiner Beschäftigten kompromittiert worden seien. Das Unternehmen führte die Veröffentlichung auf einen böswilligen Akteur zurück, der Zugriff auf den Marketplace von Cursor nutzte, in dem die manipulierte extension fast zwölf Stunden lang verfügbar blieb. Es gibt keine Hinweise darauf, dass die schädlichen Releases Open VSX, Microsofts Visual Studio Marketplace oder das Package anthropic-ai/claude-code auf npm erreichten. Socket prüfte Registry-records und seine Ingestion-Logs und fand ebenfalls keine Hinweise darauf, dass Version 2.1.313 im untersuchten Zeitraum über Open VSX öffentlich verfügbar wurde.
Am 30. Oktober 2026 war das schädliche Release entfernt worden. Version 2.1.314 war die neueste Version, die Anthropic über Open VSX und den Marketplace von Microsoft veröffentlicht hatte. Cursor erklärte, es habe seine keys rotiert, den Marketplace neu aufgebaut und gemeinsam mit dem Cloud-Anbieter den Server des Angreifers offline genommen, wodurch die reverse shell funktionsunfähig geworden sei. Das Unternehmen erklärte außerdem, dass keine anderen extensions im Marketplace böswillig verändert worden seien.
Das bloße Entfernen oder Aktualisieren der extension reicht nicht aus, da der schädliche Code Dateien und Einstellungen außerhalb des Installationsordners der extension schrieb. Microsoft empfiehlt betroffenen Organisationen, Beweismaterial zu sichern, betroffene Systeme vom Netzwerk zu trennen, nicht autorisierte SSH-Einträge, Skripte, tunnel-Identitäten und Startobjekte zu entfernen, Endpoint-records zu prüfen sowie Zugangsdaten zu ändern oder aktive Sitzungen zu widerrufen. Dies gilt für Systeme, auf denen die Versionen 2.1.312 oder 2.1.313 über den Marketplace von Cursor installiert oder automatisch auf diese Versionen aktualisiert wurden.
Unternehmen, die nach einem solchen Vorfall ihre Entwicklungssysteme und Reaktionsverfahren bewerten, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen an. Der Fall folgt außerdem auf einen separaten software supply chain-Vorfall, der etwas mehr als eine Woche zuvor bekannt gegeben worden war. Dabei ersetzte ein unbekannter Angreifer die Release-Dateien von fünf bestehenden Versionen des offiziellen command-line tool von OVHcloud, nachdem im März 2026 im Rahmen der GlassWorm-Operation das GitHub-Konto eines legitimen Mitwirkenden übernommen worden war.