Cybersecurity-Forscher haben einen Sicherheitsvorfall im Zusammenhang mit der offiziellen Anthropic Claude Code VS Code-Erweiterung offengelegt, die auf dem Cursor Marketplace kompromittiert wurde, um eine persistente SSH-Backdoor bereitzustellen. Das Problem wurde spezifisch auf die Kompromittierung des Cursor Marketplaces zurückgeführt und nicht auf das Open VSX-Register, was die KI-Coding-Plattform Cursor veranlasste, ihren Dienst vorübergehend abzuschalten, um die Malware zu entfernen.
Cursor bestätigte, dass der Vorfall höchstens 5.000 Nutzer betraf, die die bösartige Version zwischen etwa 2:27 Uhr und 13:35 Uhr PT am 29. Oktober 2026 installiert hatten. Das Unternehmen erklärte, dass die bösartige Erweiterung nicht von Anthropic entwickelt wurde und andere Erweiterungen auf dem Marketplace, Grok Bot oder andere SpaceXAI-Produkte nicht betrifft. Stand 30. Oktober 2026 wurde die kompromittierte Version entfernt, und Anthropic hat ein sauberes Update, Version 2.1.314, sowohl für Open VSX als auch für den Microsoft VS Code Marketplace veröffentlicht.
Laut Jenn Gile, Mitbegründerin von OpenSourceMalware, identifizierte sich das bösartige Paket als anthropic.claude-code Version 2.1.313, enthielt jedoch einen 66 Zeilen langen Loader, der vor dem legitimen Code eingefügt wurde. Die Erweiterung ist darauf ausgelegt, beim Start von VS Code und beim Öffnen ihrer Webview aktiviert zu werden, woraufhin sie eine vom Angreifer kontrollierte SSH-Schlüssel mit dem Label "svc-telemetry" zur authorized_keys-Datei des Nutzers hinzufügt, um harmlos zu wirken.
Die Malware versucht, einen Reverse-Tunnel zur IP-Adresse 134.209.82[.]225 auf Windows-, Linux- und macOS-Systemen aufzubauen. Sie installiert zudem plattformspezifische Persistenzmechanismen, einschließlich geplanter Aufgaben, Crontabs und LaunchAgents, während sie Host-Reconnaissance-Daten an einen unverschlüsselten HTTP-Endpunkt am Port 8099 übermittelt. Cursor wies darauf hin, dass die Aktivierung des lokalen SSH-Diensts Administratorrechte erfordert, über die die Erweiterung auf den meisten macOS- und Windows-Hosts nicht verfügt; folglich schlägt der Tunneling-Schritt oft fehl, obwohl die Schlüsselinstallation und Datenexfiltration dennoch stattfinden.
Die exfiltrierten Daten umfassen die öffentliche IP-Adresse, den Hostnamen, den lokalen Benutzernamen, Betriebssystemdetails, die CPU-Architektur, das Home-Verzeichnis, das aktuelle Arbeitsverzeichnis und die globale Git-E-Mail. Darüber hinaus scannt die Malware nach bis zu 40 Umgebungsvariablennamen, die Schlüsselwörter wie KEY, TOKEN, SECRET, PASS, AWS oder GCP enthalten. Der Sicherheitsforscher Paul McCarty hob hervor, dass zwar die Werte dieser Variablen nicht direkt im ersten Beacon gesendet werden, ihre Namen jedoch konfigurierte Cloud-Anbieter und Credential-Typen offenbaren können, und ein erfolgreicher SSH-Zugriff Angreifern erlauben würde, Konten direkt zu inspizieren.
Es wurden keine Folge-Payloads über die Einrichtung des Reverse-Tunnels hinaus beobachtet, der einen Weg für die Befehlsausführung oder Dateitransfer bietet. Cursor hat angegeben, dass es betroffene Nutzer direkt kontaktieren wird. Betroffene Personen werden geraten, ihre Hosts zu isolieren, den unbefugten SSH-Schlüssel und die Persistenzmechanismen zu entfernen sowie alle Credentials und Sitzungen zu rotieren.
Quellen: The Hacker News.