Manipulierte Claude-Code-Erweiterung im Cursor-Marketplace: Was bekannt ist und was offen bleibt

Zwei manipulierte Claude-Code-Versionen waren elf Stunden im Cursor-Marketplace abrufbar

Am 29. Oktober lagen im Marketplace von Cursor zwei veränderte Builds der Erweiterung Anthropic.claude-code: die Versionen 2.1.312 und 2.1.313, jeweils für Windows und macOS. Sie stammen nicht von Anthropic. Laut Cursor waren sie von etwa 2:27 Uhr bis 13:35 Uhr Pacific Time verfügbar, also rund 11 Stunden. Zunächst nannte Cursor höchstens 5.000 betroffene Nutzer.

Nach Angaben von Field Effect nutzte der Angriff keine Schwachstelle in Claude Code. Der Build wurde unter Anthropics legitimer Erweiterungs-ID verteilt. Nutzer mit aktivierten Auto-Updates konnten ihn laut Snowbit/RH-ISAC automatisch erhalten haben. Laut Cursor sind andere Erweiterungen im Marketplace nicht betroffen. Das Unternehmen entfernte die Erweiterung, nahm den Marketplace vorübergehend offline, rotierte Schlüssel und prüfte Zugriffe.

Ein 66-Zeilen-Loader sammelt Systemdaten und versucht, einen SSH-Schlüssel einzuschleusen

Technische Analysen beschreiben einen etwa 66 Zeilen langen Loader, der der Datei extension.js vorangestellt ist. Er startet beim Laden der Erweiterung, noch vor der regulären Aktivierung. Eine Nutzeraktion ist dafür nicht nötig, ebenso wenig Install-Skripte oder eine Claude-Konversation. Die Erweiterung arbeitet normal weiter. Eine weitere ausführbare Datei wird nicht nachgeladen.

Der Loader erfasst Hostname, Benutzername, Betriebssystem, Home-Pfad, Git-E-Mail und öffentliche IP. Außerdem liest er die Namen, nicht die Werte, von bis zu 40 Umgebungsvariablen, die nach KEY, TOKEN, SECRET, PASS, AWS oder GCP aussehen. Ein JSON-Beacon geht unverschlüsselt per HTTP an Port 8099 des Angreiferservers.

Der Code versucht zudem, einen Angreifer-Schlüssel mit dem Kommentar „svc-telemetry“ in die Datei authorized_keys zu schreiben. Ferner soll er den SSH-Dienst aktivieren und einen Reverse-Tunnel aufbauen. Hintergrundskripte wiederholen den Versuch etwa alle 60 Sekunden. Die bösartige extension.js ist rund 7 KB größer als das saubere Vorgänger-Release. StepSecurity hat ihren Hash (SHA-256 ecb58cb2…bf15, 3.692.922 Bytes) per Sandbox-Analyse verifiziert.

Die Hintertür scheitert meist, die Spuren auf dem Rechner bleiben

Nach Cursors Angaben schlägt der SSH-Schritt wegen Fehlern im Schadcode fehl. Ausnahmen sind sehr ungewöhnliche Fälle, etwa ein Start von Cursor mit Administratorrechten. Die Aufklärungsdaten gingen dennoch an den Server. Der Abfluss fand also auch ohne funktionierende Hintertür statt.

Zur Persistenz legt der Code unter macOS einen LaunchAgent namens com.apple.sysmond.plist an. Im analysierten Apple-Silicon-Sample lagen zudem ~/.config/.smt und ~/.config/.smtk. Unter Windows richtet er die Aufgabe „SysMon“ und ein Startup-Skript ein. Im Linux-Zweig erstellt er einen @reboot-Cron-Eintrag. Laut zomro sind das implementierte Codepfade. Sie belegen keine Infektionen auf jeder Plattform.

Nach Cursors Angaben wurde der Server unter 134.209.82.225 gemeinsam mit dem Cloud-Anbieter abgeschaltet. Die Deinstallation der Erweiterung entfernt die Persistenz laut Cursor nicht. Sie muss gesondert beseitigt werden.

Expel untersucht vier Mac-Fälle: Das Elf-Stunden-Fenster reicht als Suchzeitraum nicht

Expel untersuchte am 29. und 30. Oktober vier Vorfälle bei vier Kunden, jeweils auf einem Mac. Drei Rechner liefen mit CrowdStrike Falcon, einer mit Microsoft Defender for Endpoint. Drei Fälle begannen innerhalb des von Cursor genannten Zeitfensters. Der vierte begann rund 8 Stunden nach dessen Ende.

Für Sicherheitsteams heißt das: Die Suche muss über die elf Stunden hinausreichen. Wer nur dieses Fenster prüft, kann infizierte Rechner übersehen. Warum der vierte Fall später begann, geht aus dem Material nicht hervor.

Verbreitungsweg, Betroffenenzahl und Account-Übernahme: Die Quellen bleiben offen

Beim Verbreitungsweg widersprechen sich die Quellen. Cursor und mehrere Berichte nennen den Cursor-Marketplace. Daneben wurde das Paket 2.1.313 auf Open VSX gefunden. Laut Coralogix gehört das Listing einem Anthropic-Mitarbeiter. Wie beide Kanäle zusammenhängen, ist unklar. Ein Reddit-Nutzer behauptet, Cursor nutze weder Open VSX noch den Marketplace von Microsoft. Das bleibt eine unbestätigte Einzelbehauptung.

Frühe Berichte nannten nur 2.1.313. Cursors überarbeitete Mitteilung vom 30. Oktober führt auch 2.1.312 auf und nennt vier VSIX-Hashes, drei davon neu. Die Zahl von höchstens 5.000 Betroffenen ist eine Obergrenze, keine bestätigte Zahl Infizierter. Laut Rescana fehlt sie in der überarbeiteten Mitteilung. Warum, ist nicht belegt.

Die Angabe „fast 12 Stunden“ findet sich nur bei hyper.ai, ohne Herleitung. Sie passt nicht zu Cursors Zeitangabe von rund 11 Stunden und 8 Minuten. Dieselbe Quelle behauptet, Angreifer hätten Zugriff auf Anthropics verifizierten Cursor-Account gehabt. Einen Beleg nennt sie nicht, und keine andere Quelle bestätigt es. Als Tatsache ist das nicht zu übernehmen. Der Einstiegspunkt bleibt ungeklärt.

Am selben Tag beschrieben Forscher eine davon unabhängige Schwachstelle im integrierten Browser von Cursor. Ein Zusammenhang ist nicht belegt.

Was Betroffene jetzt tun müssen: Rechner isolieren, Schlüssel und Persistenz entfernen, Zugangsdaten rotieren

Rechner, die 2.1.312 oder 2.1.313 geladen haben, gelten als kompromittiert und sind zu isolieren. Die Adresse 134.209.82.225 sollte blockiert werden. Zugangsdaten rotieren Betroffene von einem sauberen Gerät aus. Der Loader sucht gezielt nach Variablen, die auf Schlüssel und Tokens hindeuten. Den Schlüssel „svc-telemetry“ in authorized_keys sowie LaunchAgent, Aufgabe oder Cron-Eintrag entfernen Betroffene separat. Die Deinstallation genügt dafür nicht.

Anthropic hat bis zum 30. Oktober die bereinigte Version 2.1.314 auf Open VSX und im Microsoft VS Code Marketplace veröffentlicht. Für die offizielle Version im Microsoft-Marketplace gibt es laut Coralogix und Help Net Security keine Hinweise auf Manipulation. Für Cursor und Anthropic bedeutet der Vorfall zunächst einen Reputationsschaden.