Etwa elf Stunden lang, am 29. Oktober, kursierte eine gefälschte Version der Claude-Code-Erweiterung, die als die von Anthropic ausgegeben wurde, auf dem Cursor-Marketplace. Sie versuchte, eine SSH-Hintertür auf den Computern von Entwicklern zu installieren: maximal 5.000 laut Cursor.
- Eine gefälschte Claude-Code-Erweiterung war elf Stunden lang auf dem Cursor-Marketplace verfügbar.
- Sie installierte eine SSH-Hintertür und konnte bis zu 5.000 Entwickler betreffen.
- Die Deinstallation der Erweiterung reicht nicht aus, denn eigenständige Skripte laufen weiter.
- Betroffene prüfen den Schlüssel «svc-telemetry» und ändern ihre Zugangsdaten von einem sauberen System aus.
Was geschah auf dem Cursor-Marketplace?
Laut der Sicherheitsmitteilung von Cursor wurde eine manipulierte Version der Erweiterung, Anthropic.claude-code 2.1.313, zwischen 2:27 und 13:35 Uhr Pazifischer Zeit angeboten. Das entspricht einem Zeitfenster von 10:27 bis 21:35 Uhr in Frankreich. Der Herausgeber erklärt, diese Version sei nicht von Anthropic entwickelt worden und habe maximal 5.000 Nutzer erreicht, die man direkt kontaktieren wolle.
Cursor entfernte die Version nach ihrer Entdeckung, schloss vorsorglich seinen gesamten Marketplace, wechselte seine Schlüssel und baute den Dienst neu auf. Das Unternehmen gibt auch an, vom Hosting-Anbieter die Abschaltung des Angreifer-Servers erwirkt zu haben: Der Tunnel und der Versand von Informationen sollten nicht mehr funktionieren. Es fügt hinzu, keine Beweise dafür zu haben, dass andere Versionen der Erweiterung betroffen seien. Seine Nachricht auf X wurde von The Hacker News aufgegriffen:
Was macht diese Hintertür auf dem Rechner?
Laut der Analyse von OpenSourceMalware wurde ein 66-zeiliger Loader vor den legitimen Code der Hauptdatei der Erweiterung eingefügt. Er wird beim Laden der Erweiterung ausgeführt: Ein Öffnen eines Chats mit Claude ist nicht nötig. Er erfasst den Maschinennamen, den Benutzer, das System, die globale Git-E-Mail-Adresse und die Namen von Umgebungsvariablen, die Wörter wie « KEY » oder « TOKEN » enthalten. Die Werte werden nicht im ersten Versand übertragen, aber die Namen reichen aus, um die genutzten Dienste preiszugeben.
Der Code fügt dann einen SSH-Schlüssel mit dem Label « svc-telemetry » zur authorized_keys-Datei hinzu, versucht den SSH-Dienst zu aktivieren und öffnet einen Reverse-Tunnel zur Adresse 134.209.82.225. Um dauerhaft zu bleiben, installiert er sich unter einem irreführenden Namen: unter macOS ein LaunchAgent namens « com.apple.sysmond », der kein Apple-Bestandteil ist; unter Windows ein geplanter Task « SysMon ». Laut Cursor starten Skripte den Tunnel etwa alle 60 Sekunden neu und ein Bericht wird an Port 8099 des Servers gesendet.
Ein Angriff, teilweise durch eigene Fehler gebremst
Es handelt sich nicht um eine automatische Übernahme. Cursor erklärt, dass die Aktivierung des SSH-Dienstes Administratorrechte erfordert, welche die Erweiterung auf den meisten Macs und Windows-PCs nicht hat. Auf diesen Rechnern hätte sich der Angreifer also nicht über den Tunnel verbinden können. Der Schlüssel, die Persistenz und der Versand der Informationen bleiben dennoch aktiv, was eine Bereinigung rechtfertigt.
Open VSX oder Cursor-Marketplace: Woher kam die präparierte Version?
Die Quellen sind sich nicht einig. Cursor und später The Hacker News in seiner korrigierten Version lokalisieren die Verbreitung ausschließlich auf dem Cursor-Marketplace, ohne Beweis, dass sie Open VSX oder den Microsoft Marketplace erreicht habe. Im Gegensatz dazu sprechen Help Net Security und das Sicherheitsunternehmen Phorion von einem auf Open VSX, dem von der Eclipse Foundation verwalteten Registry, veröffentlichten Paket.
OpenSourceMalware wiederum analysierte ein Exemplar, das von Open VSX stammt, wobei es klarstellt, dass die Herkunft des untersuchten Ordners nicht gesichert ist. Laut The Hacker News hat Anthropic inzwischen die Version 2.1.314 auf Open VSX und dem Microsoft Marketplace veröffentlicht. Wir haben keine Stellungnahme von Anthropic zu dem Vorfall gefunden.
Wie können Sie feststellen, ob Sie betroffen sind?
Die Frage betrifft nur diejenigen, die Anthropic.claude-code 2.1.313 vom Cursor-Marketplace während des genannten Zeitfensters installiert oder aktualisiert haben. Cursor schlägt eine Überprüfung vor: Ist der Schlüssel « svc-telemetry » in Ihren autorisierten SSH-Schlüsseln vorhanden? Unter macOS:
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"Cursor stellt auch einen PowerShell-Befehl für Windows bereit, aber keinen für Linux. Wenn der Schlüssel erscheint, ist der Rechner betroffen und Cursor empfiehlt diese Schritte:
- die Maschine isolieren und nach den in der Mitteilung aufgeführten Kompromittierungsindikatoren suchen
- das bereitgestellte Bereinigungsskript für macOS oder Windows ausführen, da das Deinstallieren der Erweiterung nicht ausreicht: eigenständige Skripte laufen weiter
- die von der Maschine aus erreichbaren Zugangsdaten und Sitzungen von einem vertrauenswürdigen System aus ändern
Es bleibt eine Frage, die niemand geklärt hat: Wer hat diese Version tatsächlich veröffentlicht und mit welchem Zugang?
