Heute haben wir eine Sicherheitsstörung festgestellt, die ein bestimmtes Erweiterungspaket im Cursor-VS-Code-Erweiterungsmarktplatz betrifft: Anthropic.claude-code Version 2.1.313. Diese schädliche Version der Erweiterung wurde nicht von Anthropic entwickelt. Betroffen sind höchstens 5.000 Benutzer, die wir direkt kontaktieren werden.

#Was ist passiert

Heute zwischen etwa 2:27 Uhr PT und 13:35 Uhr PT war im Cursor-Erweiterungsmarktplatz für VS Code-Erweiterungen eine böswillig manipulierte Version der Claude Code-Erweiterung von Anthropic verfügbar. Die Erweiterung führt Schadcode aus, der versucht, eine persistente SSH-Hintertür zu installieren. Im Einzelnen:

• Sie sammelt Host- und Benutzerinformationen: Hostname, Benutzername, Betriebssystem, Architektur, Pfad des Home-Verzeichnisses, Namen von Umgebungsvariablen, Arbeitsverzeichnisse, die konfigurierte Git-E-Mail-Adresse und die öffentliche IP-Adresse.
• Sie versucht, einen vom Angreifer kontrollierten SSH-Schlüssel zu authorized_keys hinzuzufügen, den lokalen SSH-Service zu aktivieren und einen Reverse-SSH-Tunnel zu öffnen. Aufgrund von Fehlern im Schadcode schlägt dieser Schritt fehl – außer in höchst ungewöhnlichen Fällen, in denen Cursor mit Administratorrechten gestartet wurde.
• Sie versucht, den Reverse-SSH-Tunnel dauerhaft einzurichten – über einen LaunchAgent (macOS) bzw. über eine geplante Aufgabe, die als SYSTEM ausgeführt werden soll, mit einem Startup-Skript als Fallback (Windows). Hintergrundskripte versuchen etwa alle 60 Sekunden erneut, den Tunnel aufzubauen.
• Sie übermittelt Host-Details und den Status der Hintertür per HTTP-POST an /beacon auf Port 8099.

Hinweis: Der Server des Angreifers ist nicht mehr funktionsfähig.

• Wir haben den Server gemeinsam mit dem Cloud-Anbieter, bei dem er gehostet wurde, vom Netz genommen. Die Reverse Shell und der POST der Host-Details funktionieren daher nicht mehr.
• Diese Befunde betreffen das identifizierte Paket. Uns liegen keine Hinweise darauf vor, dass andere Versionen der Erweiterung oder die offizielle Distribution betroffen sind.
• Zudem erfordert das Aktivieren des lokalen SSH-Service Admin-Rechte, über die die schädliche Erweiterung auf den meisten macOS- und Windows-Hosts nicht verfügt. Auf diesen Hosts schlägt der Schritt fehl, und der Angreifer konnte sich nicht über den Tunnel anmelden. Die Erweiterung fügt aber trotzdem den SSH-Schlüssel des Angreifers hinzu, richtet Persistenzmechanismen ein und sendet Host-Details an den Angreifer. Befolge daher in jedem Fall die unten beschriebenen Schritte zur Behebung.

#Was wir unternommen haben

• Wir haben die schädliche Version sofort nach ihrer Erkennung aus dem Marktplatz entfernt und die weitere Verteilung blockiert. Aus größter Vorsicht haben wir anschließend den VSCode Marktplatz vollständig abgeschaltet.
• Wir haben die Zugriffe einem Audit unterzogen und bestätigt, dass keine anderen Erweiterungen manipuliert wurden.
• Wir haben unsere Schlüssel rotiert, den Marktplatz neu erstellt und wieder online gebracht
• Gemeinsam mit dem Hosting-Anbieter haben wir den schädlichen Server vom Netz genommen und den Angriff unterbunden, indem wir die Verbindung zu diesem Server blockiert haben.

#Was du tun solltest

Wenn du Anthropic.claude-code 2.1.313 am 29. Oktober 2026 zwischen 2:27 Uhr PT und 13:35 Uhr PT über den Erweiterungsmarktplatz von Cursor für VS Code installiert oder darauf aktualisiert hast:

1. Führe die unten stehende Prüfung aus, um festzustellen, ob du betroffen bist.
2. Durchsuche die Endpunkt-, Netzwerk- und Erweiterungsinstallations-Telemetrie nach den unten aufgeführten Indikatoren.
3. Isoliere Hosts, die Hinweise auf eine Ausführung der Nutzlast oder die Installation einer Hintertür aufweisen.
4. Entferne den nicht autorisierten SSH-Schlüssel, die Persistenzmechanismen und laufende Tunnel-Prozesse mit den unten stehenden Behebungsskripten und prüfe, ob der Host neu aufgesetzt werden sollte. Die Erweiterung zu deinstallieren reicht möglicherweise nicht aus – die Nutzlast legt eigenständige Persistenzskripte ab, die weiterlaufen.
5. Rotiere von einem vertrauenswürdigen System aus alle Zugangsdaten und Sitzungen, auf die von betroffenen Hosts aus zugegriffen werden kann. Dass nur eine begrenzte Menge an Umgebungsvariablen erfasst wurde, schließt nicht aus, dass später über die Hintertür auf Zugangsdaten zugegriffen wurde.

#Prüfe, ob du betroffen bist

Die schädliche Erweiterung fügt den öffentlichen Schlüssel des Angreifers mit der Bezeichnung svc-telemetry zu deinen autorisierten SSH-Schlüsseln hinzu. So prüfst du, ob er vorhanden ist:

Führe unter macOS Folgendes aus:

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Führe unter Windows in PowerShell Folgendes aus:

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

Wenn der Schlüssel gefunden wird, ist deine Maschine betroffen. Befolge die Schritte 3 bis 5 oben und führe anschließend das unten aufgeführte Behebungsskript für deine Plattform aus.

#Betroffene Maschinen bereinigen

Diese Skripte entfernen die schädliche Erweiterung, die Persistenzmechanismen, die laufenden Tunnel-Prozesse und den SSH-Schlüssel des Angreifers. Bleibt danach noch etwas zurück, beenden sie sich mit einem non-zero-Exit-Status.

Lade unter macOS remediate-macos.sh herunter und führe das Skript als betroffener Benutzer (nicht als root) in dem Ordner aus, in dem du es gespeichert hast:

bash remediate-macos.sh

Lade unter Windows remediate-windows.ps1 herunter und führe das Skript in einer mit Run as Administrator geöffneten PowerShell in dem Ordner aus, in dem du es gespeichert hast:

powershell -ExecutionPolicy Bypass -File .\remediate-windows.ps1

#Anzeichen einer Kompromittierung

#Paket

• SHA-256 der modifizierten VSIX (darwin-arm64): 432ccdee3801f99e52b8fe31f69ea9870118e96ea7ef9ecabed1479621b5ab62 (MD5 da5469c4221775e9fe2e413e59ca7fd9)
• SHA-256 der modifizierten VSIX (win32-x64): 3de1722901165769893bef57c72594e9a54459faa23f3091b136b79966edd081 (MD5 bd3b71ddf3d0cc3af76249afd2c0eda1)
• Modifizierter Code: extension.js im Erweiterungsordner anthropic.claude-code-2.1.313-darwin-arm64 (macOS) bzw. anthropic.claude-code-2.1.313-win32-x64 (Windows) enthält 134[.]209[.]82[.]225 und svc-telemetry

#Netzwerk

• Endpunkt des Angreifers: 134[.]209[.]82[.]225
• Reverse-SSH: tunnel@134[.]209[.]82[.]225, TCP 22
• Externer Beacon: hxxp://134[.]209[.]82[.]225:8099/beacon (HTTP POST)
• Lokaler Beacon-Versuch: 127[.]0[.]0[.]1:8099/beacon (HTTP POST, Loopback)
• Abfragen der öffentlichen IP-Adresse über ifconfig[.]me / api[.]ipify[.]org – legitime Dienste; der Zugriff allein ist noch kein Indikator

#SSH

• Nicht autorisierter öffentlicher Schlüssel: ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDdvylCEJ/k2TpezcTfedrkHyFSK9IZ3vmP6vhY4Ss0P svc-telemetry
• Fingerprint des nicht autorisierten Schlüssels: SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk
• Fingerprint des Reverse-Tunnel-Schlüssels: SHA256:KOAU57+ZG6u3MG4WwzPzPX2O5YEe9qdOC1Bl+6MVyDQ
• Schlüsselkommentar: svc-telemetry

#Dateien und Persistenz

• macOS: nicht autorisierter Schlüssel in ~/.ssh/authorized_keys; ~/.config/.smt, ~/.config/.smtk; $TMPDIR/.stk_<10 hex>; ~/Library/LaunchAgents/com.apple.sysmond.plist (Label com.apple.sysmond)
• Windows: %USERPROFILE%\.ssh\authorized_keys, %USERPROFILE%\.config\smt.cmd, %USERPROFILE%\.config\smtk, %TEMP%\.stk_<10 hex>; geplante Aufgabe SysMon (versucht, mit SYSTEM-Rechten zu laufen); Fallback: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\sysmon.cmd

#Prozess / Befehlszeile

• ssh -N -R '*:0:localhost:22', autossh -M 0
• SSH-Optionen: StrictHostKeyChecking=no, UserKnownHostsFile=/dev/null, ServerAliveInterval=30, ServerAliveCountMax=3, ExitOnForwardFailure=yes, IdentitiesOnly=yes
• schtasks /create /tn SysMon
• systemsetup -setremotelogin on
• Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0

Bei weiteren Fragen kontaktiere uns unter security@cursor.com.