KIungefiltert

· 4 Min. Lesezeit · Read in English

Manipulierte Claude-Code-Erweiterung legt SSH-Hintertür an

Version 2.1.313 der Claude-Code-Erweiterung war manipuliert und hat SSH-Hintertüren angelegt. Betroffen sind vor allem Cursor-Nutzer. Ein Deinstallieren reicht nicht. Hier steht, was du jetzt prüfen solltest.

SicherheitKI

Eine manipulierte Version der Claude-Code-Erweiterung für VS-Code-kompatible Editoren hat auf Entwickler-Rechnern eine dauerhafte SSH-Hintertür angelegt. Es geht um Version 2.1.313 der Erweiterung anthropic.claude-code. Sie trug den echten Namen von Anthropic, stammte aber nicht von Anthropic. Das stellt Cursor in seiner Sicherheitsmeldung ausdrücklich klar.

Korrektur zu meinem Post

Auf X und im WhatsApp-Kanal habe ich geschrieben, das Paket sei auf Open VSX gefunden worden, dem Erweiterungs-Marktplatz der Eclipse Foundation, den Editoren wie Cursor und Windsurf nutzen. Dafür sind die Quellen inzwischen nicht mehr einig:

  • Help Net Security beruft sich auf den Mac-Sicherheitsanbieter Phorion, der das Paket auf Open VSX entdeckt haben will. Im selben Artikel widerspricht Ax Sharma von Manifold Security: Betroffen sei die offizielle Erweiterung im Cursor-Marktplatz.
  • The Hacker News hat seinen Artikel korrigiert. Bestätigt ist dort nur der Cursor-Marktplatz. Belege für Open VSX oder den Microsoft-Marktplatz gebe es keine.
  • StepSecurity sagt dagegen, die Version sei auf Open VSX veröffentlicht und dort inzwischen gelöscht worden. Cursor spiegle Open VSX.

Fest steht: Über den Cursor-Marktplatz wurde die Version als ganz normales Update verteilt. Für den Visual Studio Marketplace von Microsoft hat bisher niemand eine bösartige Version gemeldet. Ob Open VSX selbst betroffen war, ist offen. Wer seine Erweiterungen von dort bezieht, sollte deshalb trotzdem prüfen.

Was passiert ist

Laut Cursor war die manipulierte Version am 29. Oktober 2026 rund elf Stunden im Marktplatz, etwa von 2:27 bis 13:35 Uhr US-Westküstenzeit. Nach Angaben aus den Berichten waren höchstens 5.000 Nutzer betroffen. Wer automatische Updates eingeschaltet hatte, bekam die Version ohne eigenes Zutun.

Laut The Hacker News steckte in der Hauptdatei der Erweiterung ein eingeschleuster Lader mit 66 Zeilen. Er lief vor dem eigentlichen Code. Nach den Analysen tat er Folgendes:

  • Er trug einen fremden SSH-Schlüssel mit dem Kommentar svc-telemetry in die Datei authorized_keys ein. Darin steht, wer sich per SSH ohne Passwort am Rechner anmelden darf.
  • Er versuchte, den SSH-Dienst einzuschalten, und baute einen Reverse-Tunnel zum Server der Angreifer auf. Bei einem Reverse-Tunnel öffnet dein Rechner selbst die Verbindung nach außen. Darüber kommen die Angreifer an Firewall und Router vorbei zurück auf deinen Rechner.
  • Er richtete sich dauerhaft ein: über einen Startdienst unter macOS, einen Cron-Eintrag unter Linux und eine geplante Aufgabe namens „SysMon“ unter Windows.
  • Er schickte Daten über den Rechner an die Angreifer: Hostname, Benutzername, Betriebssystem, Verzeichnisse, Git-Mailadresse, öffentliche IP und die Namen von bis zu 40 Umgebungsvariablen, die nach Zugangsdaten aussehen. Die Werte selbst wurden laut den Analysen nicht übertragen.

Cursor schreibt, dass das Einschalten von SSH auf den meisten macOS- und Windows-Rechnern wohl an fehlenden Adminrechten gescheitert ist. Der Schlüssel und der Autostart wurden trotzdem angelegt, und die Rechnerdaten gingen trotzdem raus. War SSH schon vorher aktiv, ist die Tür offen. Weitere Schadsoftware, die nachgeladen wurde, ist bisher nicht beobachtet worden.

Wie die Version in den Marktplatz kam, ist bis heute nicht öffentlich geklärt. Eine CVE-Nummer gibt es nicht. Hier wurde keine Lücke ausgenutzt, sondern eine Lieferkette manipuliert.

Stand heute

Cursor hat den Marktplatz vorübergehend abgeschaltet und die Version entfernt. Nach eigenen Angaben hat Cursor auch die Zugänge überprüft, die eigenen Schlüssel ausgetauscht und den Server der Angreifer mit Hilfe des Hosters vom Netz genommen. Anthropic hat Version 2.1.314 veröffentlicht. Ein Detail ist widersprüchlich: Cursor nennt in seiner Meldung auch 2.1.312 als manipuliert. StepSecurity hat 2.1.312 und 2.1.314 von Open VSX geprüft und darin keine Spuren gefunden. Wer über Cursor 2.1.312 bekommen hat, sollte deshalb genauso prüfen.

Was du jetzt tun solltest

  1. Version prüfen. Schau in der Erweiterungsliste deines Editors nach, ob 2.1.313 (bei Cursor auch 2.1.312) installiert ist oder war. Danach auf 2.1.314 aktualisieren.
  2. Deinstallieren reicht nicht. Die Hintertür läuft als eigene Skripte weiter. Durchsuche authorized_keys nach dem Eintrag „svc-telemetry“ und lösche ihn. Prüfe außerdem Autostart-Einträge, Cron und geplante Aufgaben sowie ausgehende SSH-Verbindungen.
  3. Bereinigungsskripte nutzen. Cursor stellt Skripte für macOS und Windows und eine Liste mit Erkennungsmerkmalen (Indicators of Compromise) bereit.
  4. Isolieren und im Zweifel neu aufsetzen. Wenn du Spuren findest, nimm den Rechner vom Netz. Cursor empfiehlt, eine Neuinstallation zu erwägen.
  5. Zugangsdaten tauschen. Wechsle Schlüssel, Tokens und Sitzungen, die von dem Rechner aus erreichbar waren. Mach das von einem sauberen Gerät aus.

Meine Einordnung

KI-Coding-Assistenten laufen mit deinen Rechten, in deinen Projekten und oft neben Cloud-Schlüsseln. Genau deshalb sind sie ein lohnendes Ziel. Der bekannte Name auf dem Paket hat hier nicht geschützt, denn die manipulierte Version lief unter dem echten Herstellernamen. Automatische Updates sind normalerweise gut. Bei Erweiterungen aus Spiegel-Marktplätzen solltest du aber zumindest wissen, woher sie kommen. Eine Coding-Erweiterung hat in deinen SSH-Schlüsseln nichts verloren. Genau so etwas sollte die Überwachung auf dem Rechner erkennen.

Quellen