Cybersecurity · Supply-Chain-Angriff
Hintertür im Entwickler-Werkzeug: Offizielle Claude-Code-Erweiterung für Cursor zwölf Stunden lang mit SSH-Trojaner infiziert
Es ist das Schreckensszenario für moderne Softwareteams: Ausgerechnet das Werkzeug, dem Entwickler weitreichenden Zugriff auf lokale Quellcodes, Dateisysteme, Terminals und Umgebungsvariablen anvertrauen, wurde selbst zur Waffe gegen seine Nutzer. Am späten Abend des 29. Oktober 2026 entdeckten Sicherheitsforscher und das Team des KI-Code-Editors Cursor, dass die offizielle und als verifiziert gekennzeichnete Erweiterung Anthropic.claude-code im Cursor Extension Marketplace manipuliert worden war. Fast zwölf Stunden lang stand die bösartige Version 2.1.313 zum Download bereit und wurde von automatischen Update-Routinen in Entwicklungsumgebungen weltweit nachgeladen, bevor der Eintrag isoliert, gesperrt und zurückgezogen werden konnte.
Die forensische Analyse von Sicherheitsunternehmen wie StepSecurity, Corgea und Sophos offenbart ein perfides, hochgradig professionelles Vorgehen. Das manipulierte VSIX-Installationspaket behielt die echten, signierten Binärdateien und die vollständige Funktionalität von Claude Code bei, sodass betroffene Entwickler bei ihrer täglichen Arbeit keinerlei Fehlfunktionen, Abstürze oder Warnhinweise bemerkten. Der Angriff verbarg sich in einem vorangestellten, 66 Zeilen langen JavaScript-Loader innerhalb der Kern-Datei extension.js. Sobald Cursor startete, führte dieser Code im Hintergrund unbemerkt ein PowerShell- bzw. Bash-Skript aus, generierte ein neues SSH-Schlüsselpaar, fügte den öffentlichen Schlüssel eines Angreifers in die Datei ~/.ssh/authorized_keys ein und etablierte einen verschlüsselten Reverse-Tunnel zu externen Command-and-Control-Servern. Damit hatten die Angreifer dauerhaften, passwortlosen Root- bzw. Nutzerzugriff auf das gesamte System des Entwicklers.
Cursor-Betreiber Anysphere beziffert die Zahl der potenziell betroffenen Installationen auf höchstens 5.000 Entwickler-Maschinen. Das Unternehmen rollte am Freitagmorgen umgehend die saubere Bereinigungsversion 2.1.314 aus, die manipulierte Versionen automatisch überschreibt und deren weitere Ausführung blockiert. Dennoch bleibt die Warnung renommierter Sicherheitsexperten unmissverständlich: Ein reines Update der Erweiterung schließt die Hintertür keineswegs, da der in authorized_keys injizierte Angreiferschlüssel auf dem Betriebssystem verbleibt. Entwicklerteams weltweit wurden aufgerufen, ihre SSH-Konfigurationen umgehend manuell zu auditieren, verdächtige Schlüssel mit dem Kommentar claude-agent-internal restlos zu löschen und sämtliche lokalen API-Keys, Cloud-Zugangsdaten und GitHub-Personal-Access-Tokens mit sofortiger Wirkung zu rotieren.
Besonders alarmierend ist die bisher ungelöste Kernfrage des gesamten Vorfalls: Wie gelang es den Angreifern überhaupt, Schadsoftware über das offizielle, verifizierte Anthropic-Publisher-Konto in den Marktplatz einzuspeisen? Anthropic und Cursor haben umgehend gemeinsame Untersuchungen eingeleitet. Nach derzeitigem Ermittlungsstand deutet vieles auf einen Session-Hijacking-Angriff oder ein kompromittiertes Publishing-Token in einer internen CI/CD-Pipeline hin. Ein Sprecher von Anthropic betonte, dass die eigenen Kernsysteme und Modell-APIs zu keinem Zeitpunkt kompromittiert gewesen seien. Dennoch wirft der Fall ein grelles Schlaglicht auf die unzureichende Absicherung von Erweiterungs-Marktplätzen, die sich in den vergangenen Jahren zu einer der gefährlichsten Achillesfersen der Softwarebranche entwickelt haben.
Der Vorfall reiht sich nahtlos in eine Serie eskalierender Angriffe auf Entwickler-Infrastrukturen ein. Bereits in früheren Ausgaben berichteten wir über Vorfälle, bei denen autonome Agenten und deren Werkzeuganbindungen ins Visier von Angreifern gerieten. Wenn Entwickler lokale Agenten mit weitreichenden Rechten ausstatten, um Repositories autonom zu analysieren, verwandelt ein kompromittierter Editor die gesamte lokale Workstation in ein Einfallstor für Wirtschaftsspionage. Viele betroffene Entwickler arbeiten in sensiblen Bereichen wie Fintech, Krypto oder Cloud-Infrastruktur, wo ein einziger erbeuteter SSH-Schlüssel Zugang zu produktiven Kundendatenbanken eröffnen kann.
Für Engineering-Leads und Sicherheitsverantwortliche in Tech-Unternehmen muss dieser Zwischenfall der finale Weckruf sein: Entwickler-Workstations dürfen nicht länger als unkritische Randbereiche behandelt werden, sondern müssen unter dieselben strengen Zero-Trust- und Monitoring-Richtlinien gestellt werden wie produktive Server-Cluster. Notwendig sind strikte Endpoint-Protection-Maßnahmen, die unautorisierte Modifikationen an Konfigurationsdateien wie authorized_keys blockieren, sowie verpflichtende Hardware-Sicherheitsschlüssel (FIDO2) für jeden administrativen Zugriff. Die Ära, in der Entwickler-Erweiterungen blindes Vertrauen genossen, ist an diesem Oktober-Wochenende endgültig zu Ende gegangen.
- Ars Technica — Anthropic VS Code extension on Cursor backdoored for nearly 12 hours
- Cursor Security Notice — Malicious version of Anthropic.claude-code identified
- BleepingComputer — Malicious Claude Code extension on Cursor planted SSH backdoors
- The Hacker News — Official Claude Code Extension Trojanized with Persistent SSH Backdoor
- heise online — Claude-Code-Erweiterung im Cursor-Marktplatz mit Malware infiziert