Cursor: Gefälschte Claude-Code-Erweiterung wollte SSH-Hintertür installieren

Worum es geht

Cursor, eine KI-gestützte Entwicklungsumgebung, hat am 29. Oktober 2026 einen Sicherheitsvorfall bekannt gemacht. Im Erweiterungs-Marketplace des Programms (kompatibel mit VS-Code-Erweiterungen) war eine manipulierte Version der Erweiterung „Anthropic.claude-code“ erhältlich. Laut Cursor stammte das Paket nicht von Anthropic. Es führte Code aus, der eine dauerhafte SSH-Hintertür einrichten sollte – also einen Fernzugang, über den ein Angreifer sich auf dem Rechner anmelden könnte. Betroffen sein können höchstens 5.000 Nutzer.

Die bösartige Version 2.1.313 war am 29. Oktober zwischen etwa 2:27 und 13:35 Uhr US-Pazifikzeit abrufbar. Cursor will betroffene Nutzer direkt kontaktieren.

Was die Schadversion tut

Die Erweiterung sammelt Systeminformationen: Hostname, Benutzername, Betriebssystem, Architektur, Home-Verzeichnis, Namen von Umgebungsvariablen, Arbeitsverzeichnisse, die konfigurierte Git-E-Mail-Adresse und die öffentliche IP-Adresse. Diese Daten und den Status der Hintertür meldet sie per HTTP-POST an einen „/beacon“-Endpunkt auf Port 8099.

Dann versucht sie, einen Angreifer-Schlüssel in die Datei „authorized_keys“ einzutragen, den lokalen SSH-Dienst zu aktivieren und einen Reverse-SSH-Tunnel zu öffnen. Bei einem Reverse-Tunnel baut der infizierte Rechner selbst die Verbindung nach außen auf, sodass Firewalls den Zugriff nicht blockieren. Laut Cursor scheitert dieser Schritt wegen Fehlern im Schadcode außer in sehr ungewöhnlichen Fällen, etwa wenn Cursor mit Administratorrechten gestartet wurde. Das Aktivieren des SSH-Dienstes erfordert Adminrechte, die die Erweiterung auf den meisten macOS- und Windows-Rechnern nicht hat – dort hätte sich der Angreifer also nicht per Tunnel anmelden können. Trotzdem trägt die Erweiterung den Schlüssel ein, installiert Persistenz und schickt Host-Daten.

Für die Persistenz legt der Schadcode unter macOS einen LaunchAgent an, unter Windows eine geplante Aufgabe (Versuch als SYSTEM, mit Startup-Skript als Ausweichlösung). Hintergrundskripte versuchen etwa alle 60 Sekunden, den Tunnel aufzubauen.

Cursors Reaktion

Cursor entfernte die Version nach eigenen Angaben sofort nach der Entdeckung, stoppte die weitere Verteilung und schaltete vorsorglich den gesamten Marketplace ab. Man prüfte die Zugriffe, bestätigte, dass keine anderen Erweiterungen manipuliert wurden, rotierte Schlüssel, baute den Marketplace neu auf und nahm ihn wieder in Betrieb. Gemeinsam mit dem Cloud-Anbieter des Angreifer-Servers wurde dieser abgeschaltet; Reverse Shell und Datenversand funktionieren damit nicht mehr. Hinweise auf weitere betroffene Versionen oder auf die offizielle Distribution gibt es laut Cursor nicht.

Was Betroffene tun sollten

Wer Anthropic.claude-code 2.1.313 im Fenster aus dem Cursor-Marketplace installiert oder aktualisiert hat, sollte laut Cursor:

• den Impact-Check ausführen: Er sucht den Angreifer-Schlüssel mit der Bezeichnung „svc-telemetry“ in der Datei authorized_keys (macOS per grep, Windows per PowerShell, auch in C:\ProgramData\ssh\administrators_authorized_keys);
• Endpunkt-, Netzwerk- und Installationstelemetrie nach den veröffentlichten Indikatoren durchsuchen;
• betroffene Rechner isolieren und mit den Skripten bereinigen: „remediate-macos.sh“ (als betroffener Nutzer, nicht als root) bzw. „remediate-windows.ps1“ (in einer PowerShell mit Adminrechten). Beide entfernen Erweiterung, Persistenz, Tunnelprozesse und den Schlüssel und enden mit einem Fehlercode, falls etwas übrig bleibt;
• prüfen, ob der Rechner neu aufgesetzt werden sollte;
• Zugangsdaten und Sitzungen, die vom Rechner aus erreichbar waren, von einem vertrauenswürdigen System aus erneuern.

Cursor warnt, dass bloßes Deinstallieren nicht reicht, weil eigenständige Skripte weiterlaufen. Dass nur Namen von Umgebungsvariablen erfasst wurden, schließt späteren Zugriff auf Zugangsdaten über die Hintertür nicht aus.

Indikatoren (Auswahl)

In der Datei extension.js des Ordners für Version 2.1.313 tauchen die Zeichenketten „134.209.82.225“ und „svc-telemetry“ auf. Netzwerkseitig: Angreifer-IP 134.209.82.225, Reverse-SSH-Ziel tunnel@134.209.82.225 auf Port 22, Beacon auf Port 8099 sowie ein lokaler Versuch auf 127.0.0.1:8099. Persistenz tarnt sich als LaunchAgent „com.apple.sysmond“, geplante Aufgabe „SysMon“ und Skript „sysmon.cmd“. Anfragen an ifconfig.me und api.ipify.org sind für sich genommen legitim und kein Indiz. Rückfragen gehen an security@cursor.com.

Einordnung

Der Fall reiht sich in Lieferkettenangriffe auf Entwickler-Erweiterungen ein. Ein ähnlicher Fall war laut StepSecurity die kompromittierte Erweiterung Nx Console im Mai 2026: Dort wurde per gestohlenem Token eine Schadversion im VS-Code-Marketplace veröffentlicht, die Zugangsdaten stahl und auch Konfigurationsdateien von Claude Code ins Visier nahm. Ob beide Vorfälle zusammenhängen, geht aus den Quellen nicht hervor; es sind getrennte Ereignisse.

Wichtig für Nutzer: KI-Coding-Tools haben weitreichende Rechte auf Rechnern, deshalb sind gefälschte Erweiterungen im Namen bekannter Anbieter attraktiv. Offen bleibt, wie die Fälschung in den Marketplace gelangte und wer dahintersteckt – dazu nennt Cursor in der Meldung nichts. Auch ob tatsächlich Rechner kompromittiert wurden, ist unbekannt; die Zahl 5.000 ist eine Obergrenze. Der Vergleichstest von The Mac Observer zu Codex, Cursor und Claude Code betrifft diese Geschichte nicht und wird hier nicht berücksichtigt.