Cursor legt SSH-Backdoor-Versuch in schädlicher Claude Code-Erweiterung offen

Cursor gab am 29. Oktober 2026 einen Sicherheitsvorfall bekannt, bei dem eine böswillig veränderte Version der Erweiterung Anthropic.claude-code im Erweiterungs-Marktplatz von VS Code zum Einsatz kam. Das Unternehmen erklärte, dass das Paket nicht von Anthropic entwickelt worden sei und Code ausführte, der eine dauerhafte SSH-Backdoor zu installieren versuchte. Höchstens 5.000 Nutzer waren betroffen.

In einem Sicherheitshinweis erklärte das Unternehmen, dass es sich direkt an die betroffenen Nutzer wenden werde. Das schädliche Paket, Version 2.1.313 der Erweiterung Claude Code von Anthropic, war am 29. Oktober 2026 ungefähr zwischen 2:27 Uhr PT und 13:35 Uhr PT im Marktplatz verfügbar.

So verhält sich die schädliche Version

Cursor zufolge erfasst die veränderte Erweiterung Informationen über Host und Nutzer: Hostname, Benutzername, Betriebssystem, Architektur, Pfad zum Home-Verzeichnis, Namen der Umgebungsvariablen, Arbeitsverzeichnisse, die konfigurierte Git-E-Mail-Adresse und die öffentliche IP-Adresse des Rechners.

Die Erweiterung versucht, dem Benutzer eine vom Angreifer kontrollierte SSH-Schlüsseldatei hinzuzufügen authorized_keys Datei, den lokalen SSH-Dienst zu aktivieren und einen umgekehrten SSH-Tunnel einzurichten. Cursor erklärte, dass dieser Schritt aufgrund von Fehlern im schädlichen Code nur unter höchst ungewöhnlichen Umständen erfolgreich wäre, nämlich wenn Cursor mit Administratorrechten gestartet worden wäre. Das Unternehmen fügte hinzu, dass zum Aktivieren des lokalen SSH-Dienstes Administratorrechte erforderlich sind, über die die Erweiterung auf den meisten macOS- und Windows-Hosts nicht verfügt. Daher hätte sich der Angreifer auf diesen Rechnern nicht über den Tunnel anmelden können. Dennoch fügt die Erweiterung weiterhin den SSH-Schlüssel des Angreifers hinzu, richtet einen Mechanismus zur dauerhaften Ausführung ein und sendet Hostdetails an den Angreifer.

Zur dauerhaften Ausführung installiert die Schadsoftware laut Cursor unter macOS einen LaunchAgent oder unter Windows eine geplante Aufgabe, die versucht, als SYSTEM ausgeführt zu werden, mit einem Startskript als Ausweichlösung. Hintergrundskripte versuchen etwa alle 60 Sekunden erneut, den Tunnel einzurichten. Die Erweiterung übermittelt Hostdetails und den Status der Backdoor per HTTP-POST-Anfragen an einen /beacon Endpunkt an Port 8099.

Reaktion von Cursor

Cursor erklärte, das Unternehmen habe die schädliche Version unmittelbar nach ihrer Entdeckung aus dem Marktplatz entfernt und eine weitere Verbreitung verhindert. Anschließend habe es vorsorglich den gesamten Marktplatz abgeschaltet. Das Unternehmen teilte mit, es habe Zugriffe überprüft und bestätigt, dass keine weiteren Erweiterungen manipuliert worden seien, seine Schlüssel erneuert, den Marktplatz neu aufgebaut und wieder online gebracht.

Cursor erklärte außerdem, das Unternehmen habe mit dem Cloud-Anbieter zusammengearbeitet, bei dem der Server des Angreifers gehostet wurde, um ihn abzuschalten. Der Server des Angreifers sei nicht mehr funktionsfähig, sodass die Reverse-Shell und die POST-Übermittlung der Hostdetails nicht mehr funktionierten. Das Unternehmen erklärte, seine Erkenntnisse beträfen das identifizierte Paket und es gebe keine Hinweise darauf, dass andere Versionen der Erweiterung oder die offizielle Verteilung betroffen seien.

Maßnahmen zur Behebung und Indikatoren

Cursor riet allen, die während des Zeitraums, in dem die Erweiterung dem Risiko ausgesetzt war, Anthropic.claude-code 2.1.313 aus dem Marktplatz des Unternehmens installiert oder aktualisiert hatten, die Prüfung auf Auswirkungen auszuführen, Endpunkt-, Netzwerk- und Telemetriedaten zur Erweiterungsinstallation nach den veröffentlichten Indikatoren zu durchsuchen, Hosts zu isolieren, auf denen sich Hinweise auf die Ausführung der Schadsoftware oder die Installation einer Backdoor fanden, und mithilfe der Behebungsskripte den nicht autorisierten SSH-Schlüssel, die Mechanismen zur dauerhaften Ausführung und laufende Tunnelprozesse zu entfernen. Dabei sollten sie prüfen, ob der Host neu aufgesetzt werden sollte. Betroffene Nutzer sollten die Zugangsdaten und Sitzungen, auf die von betroffenen Hosts aus zugegriffen werden kann, von einem vertrauenswürdigen System aus erneuern.

Das Unternehmen warnte, dass die Deinstallation der Erweiterung möglicherweise nicht ausreiche, da die Schadsoftware eigenständige Skripte zur dauerhaften Ausführung ablege, die weiterliefen. Außerdem erklärte es, dass die begrenzte Erfassung von Umgebungsvariablen einen späteren Zugriff auf Zugangsdaten über die Backdoor nicht ausschließe.

Bei der Prüfung auf Auswirkungen wird nach dem öffentlichen Schlüssel des Angreifers gesucht, der mit svc-telemetry, an die SSH-Datei angehängt, gekennzeichnet ist authorized_keys Datei: mit einem grep-Befehl unter macOS und einer PowerShell-Prüfung unter Windows, die sowohl die Datei des Benutzers authorized_keys Datei als auch die administrators_authorized_keys Datei unter C:\ProgramData\ssh. Ein Rechner ist betroffen, wenn der Schlüssel gefunden wird. In diesem Fall verweist Cursor die Nutzer auf das Behebungsskript für die jeweilige Plattform.

Das Skript für macOS, remediate-macos.sh, muss vom betroffenen Benutzer und nicht als Root ausgeführt werden. Das Windows-Skript, remediate-windows.ps1, muss in einer mit Administratorrechten geöffneten PowerShell-Sitzung ausgeführt werden. Beide Skripte entfernen die schädliche Erweiterung, die Mechanismen zur dauerhaften Ausführung, die laufenden Tunnelprozesse und den SSH-Schlüssel des Angreifers. Sie beenden sich mit einem Status ungleich null, wenn etwas zurückbleibt.

Zu den veröffentlichten Kompromittierungsindikatoren gehören SHA-256-Hashes der veränderten darwin-arm64- und win32-x64-VSIX-Pakete sowie eine veränderte extension.js Datei im Erweiterungsordner von Version 2.1.313 für macOS oder Windows, die die Zeichenfolgen 134.209.82.225 und svc-telemetry. Netzwerkindikatoren umfassen den Endpunkt des Angreifers 134.209.82.225, ein Reverse-SSH-Ziel tunnel@134.209.82.225 an TCP-Port 22, ein externes Beacon an derselben Adresse auf Port 8099 und einen versuchten Beacon-Aufruf über Loopback an 127.0.0.1:8099. Cursor führte außerdem den nicht autorisierten öffentlichen ssh-ed25519-Schlüssel mit dem Fingerabdruck SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, einen Fingerabdruck eines Reverse-Tunnel-Schlüssels sowie Persistenzdateipfade für macOS und Windows auf – darunter einen LaunchAgent mit der Bezeichnung com.apple.sysmond, eine geplante Aufgabe namens SysMon, sowie ein Fallbackskript im Autostartordner namens sysmon.cmd – sowie Befehlszeilenindikatoren, darunter ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, sowie einen Add-WindowsCapability Befehl zur Installation der OpenSSH-Serverfunktion.

Cursor wies darauf hin, dass die öffentlichen IP-Abfragen der Payload an ifconfig.me und api.ipify.org gesendet werden, bei denen es sich um legitime Dienste handelt, und dass der Zugriff auf diese allein kein Indikator ist. Das Unternehmen verwies bei Fragen an security@cursor.com.