Gefälschte KI-Erweiterung öffnet Hintertür: Firmenzugänge in Gefahr
Über den Marktplatz des Code-Editors Cursor wurde am 29. Oktober rund elf Stunden lang eine manipulierte Version der Erweiterung Claude Code verteilt, die eine SSH-Hintertür einrichten sollte; Cursor schätzt bis zu 5.000 Betroffene.
Der Angriff zielt nicht auf das KI-Modell, sondern auf den Weg, über den Entwickler ihre KI-Werkzeuge installieren. Wer betroffen ist, wird die Hintertür durch Deinstallieren allein nicht los.
Was passiert ist
Laut Sicherheitshinweis von Cursor waren die Versionen 2.1.312 und 2.1.313 der Erweiterung für Windows und macOS manipuliert; sie stammten nicht von Anthropic, dem Hersteller von Claude Code. Der Schadcode lief beim Laden der Erweiterung, ohne dass Nutzer etwas tun mussten. Er schickte Rechnername, Benutzername, Betriebssystem und öffentliche IP-Adresse an einen Server der Angreifer, trug einen fremden SSH-Schlüssel mit der Bezeichnung svc-telemetry ein und versuchte, einen Tunnel nach außen zu öffnen, der sich etwa jede Minute neu aufbaut und einen Neustart übersteht. Laut Help Net Security las er zudem die Namen von bis zu 40 Umgebungsvariablen aus, die nach Zugangsschlüsseln aussehen, nicht aber deren Werte. Das Einschalten von SSH braucht Administratorrechte und scheiterte deshalb wohl auf den meisten Rechnern; Schlüssel, Dauerhaftigkeit und Datenabfluss konnten dennoch gelingen. Entdeckt hat den Fall die Sicherheitsfirma Phorion. Cursor nahm die Version vom Netz, baute den Marktplatz neu auf und tauschte eigene Schlüssel. Einordnung: Nach bisherigen Berichten gibt es keine bestätigten Folgeangriffe und keinen bekannten Täter.
Was daraus folgt
Entwicklerrechner sind für Angreifer wertvoll, weil dort Zugänge zu Cloud-Konten, Code-Archiven und Schnittstellen liegen. KI-Werkzeuge laufen dort mit weitreichenden Rechten und werden über mehrere Marktplätze verteilt, nicht nur über den des Herstellers. Damit wird jede Verteilstelle zur Lieferkette, die ein Unternehmen mitprüfen muss. Laut Field Effect war keine Schwachstelle in Claude Code selbst die Ursache, sondern ein unter der echten Kennung veröffentlichtes Paket. Anthropic veröffentlichte am 30. Oktober Version 2.1.314. Einordnung: Der Fall ähnelt früheren Angriffen auf Paketverzeichnisse, trifft aber eine Werkzeugklasse, die sich in Firmen gerade erst verbreitet und oft ohne zentrale Freigabe installiert wird.
Was sich konkret ändert
- IT-Abteilungen
- Rechner, die die Erweiterung am 29. Oktober über Cursor installiert oder aktualisiert haben, gelten als verdächtig; ein Merkmal ist der SSH-Schlüssel svc-telemetry.
- Entwickler
- Deinstallieren reicht nicht, weil eigene Skripte zurückbleiben; Cursor rät zu Isolieren, Bereinigen und neuen Zugangsdaten.
- Unternehmen
- Zugänge zu Cloud, Code und Schnittstellen, die auf betroffenen Rechnern lagen, gelten als möglicherweise offen, bis sie erneuert sind.
Worauf zu achten ist
- Ob Cursor die Zahl der tatsächlich betroffenen Rechner nennt
- Weitere manipulierte Erweiterungen in Marktplätzen für KI-Editoren
- Hinweise auf Missbrauch von Cloud- und Code-Zugängen betroffener Firmen
Quellen
- Cursor: Claude Code extension security notice
- Phorion: Analyse der kompromittierten Claude-Code-Erweiterung
- Help Net Security: Claude Code extension poisoned with persistent SSH backdoor
- Field Effect: Trojanized Claude Code extension distributed via Cursor marketplace