Ein trojanisiertes Claude Code-Add-on wurde über den Extension-Marktplatz von Cursor bereitgestellt

Cursor zufolge wurde ein Sicherheitsvorfall mit einer modifizierten Claude Code-VS-Code-Erweiterung festgestellt, die über den Extension-Marktplatz des Unternehmens verbreitet wurde und höchstens 5.000 Nutzer betraf. Cursor zufolge wurde die schädliche Version nicht von Anthropic entwickelt; andere Erweiterungen sind nicht betroffen.

Was in Cursors Sicherheitshinweis steht (wie von einem Sicherheitsforscher wiedergegeben):

• Betroffen ist der Build Anthropic.claude-code v2.1.313, der am 29. Oktober von 09:27 bis 20:35 UTC für macOS ARM64 und Windows x64 bereitgestellt wurde.
• Beim Laden der Erweiterung wird schädlicher Code ausgeführt, der Host-Informationen sammelt und versucht, eine dauerhafte SSH-Hintertür einzurichten. Cursor zufolge würde der SSH-Zugriff auf den meisten Hosts wegen Fehlern und unzureichender Berechtigungen scheitern. Das schränkt den Fernzugriff ein, macht die Codeausführung aber nicht rückgängig.
• Zugangsdaten und Repositories, auf die das betroffene Konto zugreifen kann, sind potenziell gefährdet. Cursor zufolge wurde das Paket entfernt und der Command-and-Control-Server abgeschaltet.
• Durch das Deinstallieren der Erweiterung können Persistenzmechanismen zurückbleiben. Der Forscher rät allen, die diese Version ausgeführt haben, den Host zu untersuchen, Persistenzmechanismen zu entfernen und zugängliche Zugangsdaten von einem sauberen Rechner aus zu ändern. Allein ein Update der Erweiterung belegt nicht, dass der Rechner sauber ist.

Unabhängige Analysen: OpenSourceMalware und unabhängig davon Phorion veröffentlichten Analysen mit Indikatoren für eine Kompromittierung. OpenSourceMalware zufolge fügt der Loader, wie in einem Beitrag über die Analyse zusammengefasst, einen SSH-Schlüssel des Angreifers zu authorized_keys hinzu, aktiviert sshd, öffnet einen umgekehrten SSH-Tunnel, richtet Persistenz ein (einen LaunchAgent, einen Cronjob oder eine geplante Aufgabe) und sendet Host-Informationen sowie die Namen geheimer Umgebungsvariablen an einen vom Angreifer kontrollierten Server. Das sind die Erkenntnisse der Forscher, nicht von Anthropic.

Anthropics Felix Rieseberg, der an Claude Code arbeitet, sagt, Anthropic arbeite mit Cursor an dem Vorfall, es handle sich jedoch nicht um eine Kompromittierung von Anthropics Systemen oder den Laptops von Mitarbeitenden: Seiner Darstellung nach nutzte ein Angreifer den Zugriff auf Cursors Marktplatz, um eine manipulierte Kopie der Erweiterung zu veröffentlichen, die Anthropic weder erstellt noch veröffentlicht hat. Die Versionen auf Anthropics offiziellen Kanälen seien nicht betroffen; betroffen seien nur Cursor-Nutzer.

Der Einschätzung des Forschers zufolge belegen die Berichte weder eine Kompromittierung des Microsoft VS Code Marketplace noch eine schädliche npm-Veröffentlichung. Cursors Sicherheitshinweis enthält Anweisungen zur Bereinigung.