Eine offizielle Claude-Erweiterung enthielt fast zwölf Stunden lang eine Hintertür. Dan Goodin beschreibt bei Ars Technica keinen Einbruch in ein einzelnes Entwicklerkonto, sondern einen Angriff auf die Lieferkette: Jemand übernahm das offizielle Anthropic-Konto im Cursor-Marketplace und veröffentlichte dort eine manipulierte Version der VS-Code-Erweiterung. Wer Cursor mit installierter Claude-Erweiterung nutzt, sollte die Zeitfenster und Prüfhinweise ernst nehmen. Die Auto-Update-Funktion hat den Schaden nicht verursacht, aber sie hat die Verbreitung beschleunigt.
Was am Donnerstag im Cursor-Marketplace geschah
Die manipulierte Fassung trug die Version 2.1.313 und wurde über das offizielle, verifizierte Anthropic-Konto bei Cursor verteilt. Sie ersetzte Version 2.1.312 und erreichte nach Angaben von Cursor höchstens 5.000 Nutzer. Verfügbar war sie am Donnerstag zwischen 5:27 Uhr und 16:35 Uhr Eastern Time. Version 2.1.314 ersetzte sie, beseitigt aber keine bereits erfolgte Infektion.
Kevin Beaumont und Phorion beschreiben den Vorgang als Supply-Chain-Kompromittierung: Der Angreifer kam an den offiziellen Distributionskanal, nicht an die Rechner der Entwickler. Das Anthropic-Cursor-Konto war kompromittiert, die schädliche Version erschien als reguläres Update. Cursor bestätigte, dass die Version aus dem Marketplace entfernt und die weitere Verteilung blockiert wurde. Außerdem schloss das Unternehmen den VS-Code-Marketplace zeitweise, um Schlüssel zu rotieren und Zugriffskontrollen zu prüfen. Bis zum Bericht hatte Anthropic keine öffentliche Warnung an Kunden veröffentlicht; beide Firmen beantworteten Fragen nach dem Wie nicht.
Warum ein verifiziertes Konto ausreicht
Eine Software-Lieferkette funktioniert ähnlich wie ein Werkzeugkasten, der jeden Morgen von einem Boten mit Firmenausweis gebracht wird. Niemand prüft jedes Werkzeug, weil der Ausweis vertrauenswürdig wirkt. Genau dort setzt der Angriff an: Wer den Boten oder seinen Ausweis kontrolliert, kann ein manipuliertes Werkzeug in den Kasten legen. Bei einer VS-Code-Extension ist der Effekt ähnlich. Sie startet nicht als isoliertes Programm, sondern läuft mit den Rechten der Cursor-IDE.
Eine Erweiterung kann lokale Dateien lesen, Quellcode einsehen und Entwicklungswerkzeuge ansprechen. Bei einer KI-Erweiterung ist das teilweise gewollt, weil sie den Projektkontext verstehen soll. Derselbe Mechanismus macht sie zum Ziel für Angreifer, die keine Schwachstelle in Cursor oder Anthropic brauchen. Sie übernehmen den offiziellen Verteilungskanal und veröffentlichen eine Version, die automatische Updates einsammeln. Beim Cursor-Extension-Supply-Chain-Angriff wird also nicht zuerst das Ziel angegriffen, sondern das Vertrauen in den Zulieferer.
Was die Hintertür auf den Rechnern versucht hat
Cursor beschreibt den Schadcode als Versuch, über eine Cursor-Extension eine dauerhafte SSH-Backdoor einzurichten. Ein vom Angreifer kontrollierter SSH-Schlüssel sollte in authorized_keys geschrieben, der lokale SSH-Dienst aktiviert und ein Reverse-SSH-Tunnel geöffnet werden. Ein Reverse-Tunnel dreht die Richtung um: Nicht der Angreifer verbindet sich von außen auf den Rechner, sondern der Rechner baut selbst eine Verbindung nach außen auf. Das kann Firewalls umgehen, die eingehende Verbindungen blockieren. Deshalb wird der Vorfall als SSH-Backdoor beschrieben.
Der Code war für Windows, macOS und Linux angelegt. Auf macOS sollte ein LaunchAgent die Persistenz sichern, auf Windows eine geplante Aufgabe mit SYSTEM-Rechten und einem Startskript als Rückfallebene. Hintergrundskripte versuchten etwa alle 60 Sekunden, den Tunnel erneut aufzubauen. Der Schadcode sammelte außerdem Host- und Benutzerinformationen: Hostname, Benutzername, Betriebssystem, Architektur, Home-Verzeichnis, Namen von Umgebungsvariablen, Arbeitsverzeichnisse, konfigurierte Git-Adresse und öffentliche IP. Diese Reconnaissance sollte dem Angreifer eine schnelle Inventur ermöglichen.
Die Namen der Umgebungsvariablen sind wichtig. Sie verraten oft, welche Cloud-Anbieter, API-Tokens und Zugangsdaten auf einem Entwicklerrechner liegen. Der Angreifer musste die Werte nicht vollständig auslesen, um zu priorisieren, welche Maschinen für Folgeangriffe interessant sind. Cursor weist darauf hin, dass der Schritt mit dem SSH-Schlüssel in den meisten Fällen scheitern musste, weil die IDE normalerweise nicht mit Administratorrechten läuft. Die Fehler im Schadcode verhinderten in vielen Fällen die vollständige Hintertür, aber nicht die Datensammlung und den Persistenzversuch.
Die Programmierfehler im Schadcode ändern nichts am Grundproblem
Phorion betont, dass die Malware trotz der Fehler eine ernste Bedrohung bleibt. Sie versucht, Persistenz zu installieren, und sendet Host-Erkundungsdaten per HTTP POST an /beacon auf Port 8099 zurück. Die VS-Code-Extension-Backdoor war zwölf Stunden lang verfügbar, auch wenn einzelne Angriffsschritte auf bestimmten Systemen scheiterten. Ein fehlerhafter Angriff ist kein harmloser Angriff. Die Absicht und die Reichweite bleiben, auch wenn die SSH-Hintertür nicht überall aktiv wurde. Für Betroffene zählt deshalb nicht nur, ob der Tunnel lief, sondern auch, welche Informationen abgeflossen sind und welche Zugangsdaten als kompromittiert gelten müssen.
Cursor reagierte nach eigenen Angaben, indem das Unternehmen mit dem Cloud-Anbieter des Servers zusammenarbeitete, zu dem der Reverse-Shell-Tunnel führte. Infizierte Geräte konnten diesen Server dadurch nicht mehr erreichen. Der Rückkanal war abgeschnitten: Die Tür blieb vielleicht im Code, aber der Weg nach draußen war unbrauchbar. Zusätzlich wurden die manipulierte Version entfernt und die Verteilung blockiert. Diese Maßnahmen ersetzen keine individuelle Prüfung der betroffenen Entwicklerrechner.
Was Betroffene jetzt konkret prüfen sollten
Wenn du die Anthropic-Erweiterung für Cursor am Donnerstag zwischen 5:27 Uhr und 16:35 Uhr Eastern Time installiert oder aktualisiert hast, behandle dich als potenziell betroffen. Wegen der standardmäßigen Auto-Updates reicht es nicht, nur auf Version 2.1.314 zu schauen. Die neuere Version überschreibt den Schadcode, entfernt aber keine bereits angelegten SSH-Schlüssel, LaunchAgents oder geplanten Aufgaben. Prüfe authorized_keys auf unbekannte Einträge, suche auf macOS nach ungewöhnlichen LaunchAgents und kontrolliere auf Windows geplante Aufgaben, die als SYSTEM laufen oder auf ein Startskript verweisen.
Prüfe auch aktive SSH-Verbindungen und auffällige Prozesse. Cursor und Phorion haben Indikatoren zur Kompromittierung veröffentlicht, darunter IP-Adressen und kryptografische Hashes. Wenn du solche Spuren findest, reicht das Löschen der Erweiterung nicht. Rotiere die Zugangsdaten, die auf dem Rechner erreichbar waren, insbesondere Cloud-Tokens und API-Schlüssel. Das ist unbequem, entspricht aber der Logik des Angriffs: Der Angreifer wollte nicht nur einen Rechner sehen, sondern herausfinden, welche weiteren Türen sich mit den gefundenen Schlüsseln öffnen lassen.
Wer unsicher ist, kann den Rechner zunächst vom Netz nehmen und den Vorfall mit dem eigenen Sicherheitsteam besprechen. Für Einzelentwickler ist das oft schwierig, weil Zeitdruck und Projekttermine dagegen sprechen. Eine potenzielle SSH-Backdoor ist trotzdem kein Fall für späteres Aufräumen. Der Schadcode scheiterte unter normalen Rechten in vielen Fällen an der SSH-Einrichtung. Reconnaissance und Persistenzversuche hängen aber nicht vom Erfolg dieses einen Schritts ab.
Was der Vorfall über Vertrauen in Software-Lieferketten sagt
Ein verifiziertes Konto und ein offizieller Marketplace sind keine Garantie. Sie sind ein Signal, kein Beweis. Wer eine Erweiterung installiert, vertraut nicht nur dem Code, sondern auch dem Prozess, der ihn veröffentlicht, und den Menschen mit Zugriff auf den Veröffentlichungskanal. Ein Supply-Chain-Angriff setzt dort an, wo Prüfungen oft abgekürzt werden. Die zwölf Stunden, in denen die manipulierte VS-Code-Extension verfügbar war, sind deshalb kein technisches Kuriosum, sondern ein Hinweis auf ein strukturelles Problem.
Für Anthropic und Cursor bleiben Fragen offen. Unklar ist, wie der Angreifer Zugriff auf das offizielle Anthropic-Konto bei Cursor erhielt. Unklar ist auch, warum Anthropic nicht öffentlich vor dem Vorfall warnte. Das sind keine Nebensächlichkeiten, denn sie entscheiden darüber, wie schnell Betroffene reagieren können. Eine stille Korrektur im Marketplace stoppt weitere Downloads, hilft aber niemandem, der bereits eine Hintertür auf dem Rechner hat. Transparenz ist hier Teil der Schadensbegrenzung.
Für dich als Entwickler bedeutet das: Behandle Erweiterungen wie Software mit weitreichenden Rechten, denn das sind sie. Auto-Updates sind bequem, verkürzen aber die Zeit zwischen einer kompromittierten Veröffentlichung und der Verbreitung auf viele Rechner. Prüfe, welche Erweiterungen du wirklich brauchst, und achte auf ungewöhnliche Änderungen an SSH-Konfigurationen und Startmechanismen. Der Anthropic-Cursor-Vorfall zeigt, wie schnell eine vertrauenswürdige Erweiterung zum Einfallstor wird. Software-Sicherheit bleibt ein laufender Prozess, keine einmalige Einstellung.
Quelle: arstechnica.com
