Ing. Calogero Bono
Am Donnerstag blieb eine manipulierte Version der Claude-Code-Erweiterung für Visual Studio Code rund 11 Stunden im Marktplatz von Cursor. Sie enthält eine SSH-Backdoor, ausgelegt für Windows, macOS und Linux. Laut Cursor hat sie höchstens 5.000 Nutzer getroffen. Das ist relevant, denn die Erweiterung läuft mit den Rechten der Entwicklungsumgebung und kann daher auf lokale Dateien und Quellcode zugreifen. Darüber hatten wir bereits in unserem ersten Bericht geschrieben.
Ein paar Begriffe, bevor wir zu den Fakten kommen Backdoor ist ein versteckter Zugangsweg, über den sich ein Angreifer erneut in einen Rechner einloggen kann. SSH ist ein Protokoll, mit dem du einen Computer aus der Ferne steuerst. Der Reverse SSH Tunnel ist eine Verbindung, die vom Rechner des Opfers zum Angreifer aufgebaut wird. Supply Chain bezeichnet einen Angriff, der über einen vertrauenswürdigen Zulieferer oder Verteilkanal läuft. EDR ist eine Software, die ungewöhnliches Verhalten auf Firmengeräten erkennt.
Was ist bei Cursor passiert?
Laut Wired hat Cursor, das SpaceX gehört, rund 11 Stunden lang eine schädliche Claude-Code-Erweiterung gehostet. Das Unternehmen spricht von Downloads durch «höchstens 5.000 Nutzer» und hat den Marktplatz zeitweise geschlossen.
Laut The Register war die Version 2.1.313 zwischen 02:27 und 13:35 pazifischer Zeit am Donnerstag verfügbar, also von 09:27 bis 20:35 UTC. Entdeckt wurde sie von Phorion, einem EDR-Anbieter, nachdem sie auf dem Mac eines Kunden aufgefallen war.
Was macht die Backdoor?
Laut Ars Technica erklärt Cursor, dass der Code versucht, eine dauerhafte SSH-Backdoor zu installieren. Er fügt einen SSH-Schlüssel des Angreifers hinzu, aktiviert den lokalen SSH-Dienst und öffnet einen umgekehrten Tunnel.
Analysen der Sicherheitsanbieter, über die The Register berichtet, zeigen außerdem, dass Benutzernamen, konfigurierte Git-E-Mail-Adressen und öffentliche IP-Adressen gesammelt werden. Diese Daten gehen an den Angreifer.
Da die Erweiterungen in Cursor mit den Rechten der Entwicklungsumgebung arbeiten, hätte die infizierte Version vermutlich Zugriff auf lokale Dateien, Quellcode und Entwicklungswerkzeuge.
Warum war der Schaden begrenzt?
Die Malware hatte einen Fehler. Das Skript, das den SSH-Tunnel öffnet, brauchte unter macOS und Windows Administratorrechte und hatte sie in den allermeisten Fällen nicht, also schlug es fehl. Wired nennt das einen glücklichen Zufall.
Calum Hall von Phorion sagte, «alle hatten großes Glück, das hätte ein wirklich gefährlicher Ansatzpunkt für einen Angreifer sein können».
Der Fehler beseitigt das Risiko aber nicht. Die Erweiterung übermittelt die gesammelten Daten trotzdem, hinterlässt den Schlüssel des Angreifers und richtet den Persistenzmechanismus ein.
Wer trägt die Verantwortung?
Anthropic bestreitet jede Kompromittierung. Felix Rieseberg aus dessen Technik-Team schrieb, ein Angreifer habe den Zugang zum Marktplatz von Cursor genutzt, um eine veränderte Kopie hochzuladen, und die Versionen über die offiziellen Kanäle seien nicht betroffen. Weitere Hinweise zu diesem Fall stehen in unserem Artikel über Claude Code 2.1.314.
Die ersten Berichte waren widersprüchlich. Ars Technica schreibt, die Version 2.1.313 sei über das offizielle Anthropic-Konto auf Cursor erschienen. Laut Wired erklärte Cursor, die schädlichen Versionen seien nicht von Anthropic entwickelt worden. Wie der Angreifer an den Zugang gelangte, bleibt unerklärt.
Grenzen, die du kennen solltest
Unklar ist, wie das Paket in den Marktplatz gelangt ist. Cursor hat nicht erklärt, ob es eine interne Sicherheitslücke gab, und hat auf Anfragen von Wired nicht geantwortet. Die Zahl von 5.000 Nutzern ist eine Obergrenze, die das Unternehmen selbst angibt, und wurde nicht unabhängig überprüft. Auch bei der Dauer weichen die Quellen ab – rund 11 Stunden laut Cursor, fast 12 laut Ars Technica. Ob es tatsächlich zu erfolgreichen Zugriffen kam, wissen wir nicht.
Was sich für alle ändert, die digital arbeiten
Wenn du Cursor am Donnerstag genutzt hast, prüfe die installierte Version der Erweiterung. Ein Update allein reicht nicht, weil die korrigierte Version den Persistenzmechanismus nicht entfernt. Folge den Schritten und Bereinigungsskripten, die Cursor veröffentlicht hat, und suche nach unbekannten SSH-Schlüsseln. Wer Server oder Repositories von einem Laptop aus verwaltet, sollte Zugangsdaten und Schlüssel rotieren. Der Fall zeigt, wie stark Zulieferer den Arbeitsalltag prägen, ein Thema, das wir im Leitfaden zum NIS2-Lieferantenregister behandeln.
Unsere Einschätzung
Dass der Angriff fast überall scheiterte, ist Glück und keine Verteidigung. Ein Erweiterungsmarktplatz mit standardmäßig aktivierten automatischen Updates ist ein bevorzugter Weg auf die Rechner der Entwickler und muss auch so behandelt werden. Anthropic hat recht, wenn es betont, dass die eigenen Systeme nicht betroffen sind, doch für Nutzer spielt diese Unterscheidung kaum eine Rolle, denn auf der Erweiterung stand ihr Name. Cursor sollte transparent machen, wie der Zugriff zustande kam.
Häufige Fragen
Wer war von der gefälschten Claude-Code-Erweiterung betroffen?
Nur wer Cursor nutzt und die Version 2.1.313 installiert hat. Laut Anthropic sind die Versionen über die offiziellen Kanäle nicht betroffen. Cursor schätzt höchstens 5.000 Nutzer.
Wie lange war die schädliche Version verfügbar?
Rund 11 Stunden laut Cursor und The Register. Sie war am Donnerstag zwischen 09:27 und 20:35 UTC herunterladbar. Ars Technica spricht von knapp 12 Stunden.
Reicht ein Update der Erweiterung aus, um sicher zu sein?
Nein. Die neueste Version entfernt nicht den Persistenzmechanismus, den die Malware hinterlassen hat. Nötig sind die Bereinigungsschritte und Skripte, die Cursor angibt.
Wurde Anthropic gehackt?
Laut Anthropic nicht. Felix Rieseberg und Dworken erklären, dass weder die Systeme des Unternehmens noch die Laptops der Mitarbeiter kompromittiert wurden. Ein Angreifer habe stattdessen den Zugang zum Marktplatz von Cursor genutzt.
Was hat Cursor nach dem Vorfall unternommen?
Das Unternehmen hat die schädliche Version entfernt, den Marktplatz vorsorglich geschlossen und die übrigen Erweiterungen überprüft. Außerdem hat es die eigenen Schlüssel rotiert und zusammen mit einem Cloud-Anbieter die Verbindung zum Server des Angreifers blockiert.
Was du in den nächsten Wochen von Cursor und Anthropic erwarten kannst
Es fehlt noch die Ursache. Solange Cursor nicht erklärt, wie der Angreifer hineinkam, bleibt das Risiko für andere Marktplätze offen.
- Verfolge, ob Cursor einen Bericht zur Ursache des Zugriffs und zur Verwendung der rotierten Schlüssel veröffentlicht.
- Prüfe, ob Anthropic seine Kunden direkt informiert, denn bisher hat es das nicht getan.
- Überlege, ob du die automatische Aktualisierung von Erweiterungen in den Einstellungen des Editors deaktivierst.
