Gefälschte Claude Code-Erweiterung im Cursor-Marketplace installierte SSH-Backdoors auf tausenden Entwickler-Rechnern

Am 29. Oktober wurde eine bösartige Version der VS Code-Erweiterung für Claude Code von Anthropic unbemerkt über den Cursor-Marketplace verteilt. Bis zu 5.000 Entwickler waren SSH-Backdoors und Credential-Diebstahl ausgesetzt, bevor Cursor die Erweiterung rund 11 Stunden später entfernte.

Das trojanisierte Paket, Version 2.1.313, war von 2:27 Uhr bis 13:35 Uhr PT verfügbar. Sicherheitsforscher fanden darin einen bösartigen JavaScript-Loader, der am Anfang von extension.js eingefügt worden war — der Rest des Pakets stimmte mit der legitimen Erweiterung überein. Der Loader wurde automatisch beim Laden der Erweiterung ausgeführt, ohne weiteres Zutun des Nutzers.

Nach der Aktivierung sammelte die Malware Systeminformationen — Benutzernamen, Hostnamen, öffentliche IP-Adressen, Git-E-Mail-Adressen und Namen credential-bezogener Umgebungsvariablen — und übermittelte diese an einen vom Angreifer kontrollierten Server unter der Adresse 134.209.82.225. Gleichzeitig versuchte das Schadprogramm, einen SSH-Schlüssel des Angreifers hinzuzufügen, SSH-Zugang zu aktivieren und über einen macOS-LaunchAgent oder eine geplante Windows-Aufgabe einen dauerhaften Reverse-Tunnel einzurichten, der jede Minute erneut eine Verbindung versuchte.

Programmierfehler begrenzten die tatsächliche Reichweite der Backdoor. Unter macOS wurde der SSH-Aktivierungsschritt nur ausgeführt, wenn die Ausgabe des Befehls die Zeichenkette «Off» enthielt — eine Bedingung, die selten erfüllt war. Unter Windows lief die OpenSSH-Einrichtung über /bin/sh, das in Standard-Windows-Installationen nicht vorhanden ist. Dennoch deuten die abgezogenen Aufklärungsdaten — Namen von Umgebungsvariablen, die API-Schlüssel, Cloud-Zugangsdaten oder Tokens enthalten könnten — darauf hin, dass die Angreifer Maschinen für manuelle Nachverfolgung identifizierten, keine automatisierte Massenabschöpfung betrieben.

Cursor entfernte die Erweiterung, schloss den gesamten Marketplace vorübergehend für eine Prüfung anderer Pakete, und rotierte Zugriffsschlüssel. Das Unternehmen arbeitete zudem mit dem Hosting-Anbieter zusammen, um den Command-and-Control-Server des Angreifers abzuschalten. Cursor fand keine Hinweise darauf, dass der Angriff auf den offiziellen VS Code Marketplace, npm oder Open VSX übergriff.

Der beunruhigendste Aspekt ist die Supply-Chain-Dimension: Es ist weiterhin ungeklärt, wie die Angreifer ein bösartiges Paket unter Anthropics verifiziertem Namen veröffentlichen konnten. Entwickler-Erweiterungs-Marketplaces werden zunehmend zu einem attraktiven Angriffsvektor für Supply-Chain-Angriffe, da Entwickler Paketen bekannter Anbieter vertrauen und IDEs Erweiterungen mit weitreichenden Systemberechtigungen laden.

Entwickler, die Version 2.1.313 in diesem Zeitraum installiert haben, sollten prüfen, ob ein SSH-Schlüssel namens svc-telemetry vorhanden ist. Wenn ja, wird empfohlen, die Maschine zu isolieren, alle zugänglichen Secrets und Sitzungen zu rotieren und von einem sauberen Backup neu aufzusetzen.

Zuerst berichtet von BleepingComputer.