Bösartige Versionen der Claude-Code-Erweiterung von Anthropic wurden an Cursor-Nutzer im Rahmen eines neuen Software-Lieferkettenangriffs verteilt. Der Vorfall ereignete sich am 29. Oktober, und die betroffenen Versionen waren nur etwa 11 Stunden lang verfügbar. Sie stammten nicht von Anthropic, das betont, dass seine offiziellen Kanäle nicht betroffen sind.
Die Versionen 2.1.312 und 2.1.313 der Erweiterung anthropic.claude-code waren im VS-Code-Erweiterungsmarktplatz von Cursor verfügbar. Sie zielten sowohl auf macOS- als auch Windows-Nutzer ab und enthielten JavaScript-Code, der beim Laden bestimmter Module ausgeführt werden sollte, um einen Reverse-SSH-Tunnel einzurichten, einen Fernzugriff auf die infizierte Maschine. Laut dem Sicherheitsforscher Kevin Beaumont könnten etwa 5.000 Entwicklersysteme diese Versionen heruntergeladen haben.
Eine über den Cursor-Marktplatz veröffentlichte modifizierte Kopie
Anthropic gab an, dass die modifizierten Versionen nicht vom Unternehmen entwickelt und nicht auf dem Microsoft Visual Studio Marketplace, auf Open VSX oder im NPM-Registry veröffentlicht wurden. « Ein böswilliger Akteur nutzte den Zugang zum Cursor-Marktplatz, um eine veränderte Kopie der Claude-Code-Erweiterung zu veröffentlichen, die wir weder erstellt noch veröffentlicht haben. Die Versionen unserer offiziellen Kanäle sind nicht betroffen, und dies betrifft nur Cursor-Nutzer », sagte Felix Rieseberg von Anthropic. Um Verwirrung zu vermeiden, hat Anthropic seine legitime Version der Erweiterung direkt auf Version 2.1.314 aktualisiert.
Auf Seiten von Cursor wurde die modifizierte Erweiterung nach ihrer Identifizierung aus dem Shop entfernt, und der Marktplatz wurde für die Dauer der Untersuchung suspendiert. Cursor gibt an, keine weiteren bösartigen Erweiterungen gefunden zu haben, alle seine Schlüssel erneuert, den Marktplatz neu aufgebaut und wiedereröffnet zu haben. Das Unternehmen arbeitete auch mit dem Cloud-Anbieter zusammen, der den Server des Angreifers hostete, um ihn offline zu nehmen. « Wir haben keine Hinweise darauf, dass andere Versionen der Erweiterung oder die offizielle Verteilung betroffen sind », präzisierte Cursor.
Aktionen zur Informationssammlung und Persistenz
Laut der von Microsoft veröffentlichten Analyse sammelte die beim Laden ausgeführte JavaScript-Funktion Informationen über die Maschine, modifizierte Dateien und startete Systembefehle. Microsoft zufolge versuchte der Code, einen SSH-Schlüssel zu installieren, den SSH-Dienst zu aktivieren, den Tunnel zu erstellen und seine Persistenz zu konfigurieren, also seine Fähigkeit, nach einem Neustart aktiv zu bleiben. « Der Loader beginnt damit, Informationen über den Host zu sammeln. Anschließend versucht er, einen SSH-Schlüssel zu installieren, SSH zu aktivieren, einen Reverse-Tunnel zu erstellen und die Persistenz zu konfigurieren. Ein verzögertes Callback versucht dann, die Host-Details zu senden », erklärt Microsoft. Die Forscher beobachteten die Sammlung von Hostname, Benutzername, Betriebssystem, Architektur, Arbeitsverzeichnis und globaler Git-E-Mail-Adresse sowie die Bereitstellung plattformspezifischer Skripte. Laut Cursor erfordert die Aktivierung des SSH-Dienstes Administratorrechte, die die Erweiterung auf den meisten macOS- und Windows-Systemen nicht besitzt: Dieser Schritt schlug daher fehl, was die Angreifer daran gehindert hätte, sich über den Tunnel zu verbinden.
Cursor empfiehlt Nutzern, die bösartigen Versionen so schnell wie möglich zu entfernen, und hat ein Erkennungsskript sowie Indikatoren für eine Kompromittierung veröffentlicht. Das Unternehmen weist darauf hin, dass die Deinstallation der Erweiterung möglicherweise nicht ausreicht, da die bösartige Nutzlast eigenständige Persistenzskripte ablegt, die weiterhin funktionieren.
