Elf Stunden lang verteilte Cursors Marktplatz am Donnerstag eine manipulierte Fassung von Anthropics Erweiterung Claude Code. Version 2.1.313 hinterlegte einen fremden SSH-Schlüssel, richtete einen Autostart ein und schickte Rechnername, Benutzername und die Git-E-Mail-Adresse an einen Server der Angreifer. Laut Cursor erhielten höchstens 5.000 Nutzer das Update.[1]
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Die Fassung stammt nach Cursors Angaben nicht von Anthropic. Laut dem Sicherheitsanbieter StepSecurity lag sie zuerst im Erweiterungsverzeichnis Open VSX, das Cursor spiegelt.[2]
Das Wichtigste in Kürze
- Der Schadcode startete, sobald der Editor die Erweiterung lud, ein Klick war dafür nicht nötig.
- Wer nur die Erweiterung entfernt, lässt Schlüssel und Autostart auf dem Rechner zurück.
Was machte die manipulierte Version?
Dem regulären Programmcode der Datei extension.js hatten die Angreifer ein kurzes Skript vorgeschaltet. Laut dem Sicherheitsanbieter Phorion lief es los, sobald Node.js die Datei lud, noch bevor die Erweiterung selbst startete.[3] Das Skript hängte einen Schlüssel mit der Kennung svc-telemetry an die Datei authorized_keys an und baute eine ausgehende SSH-Verbindung zu einem Server der Angreifer auf. Über diesen Reverse-SSH-Tunnel hätten sie sich von außen am Rechner anmelden können.
Auf dem Mac tarnte sich der Autostart als Apple-Dienst com.apple.sysmond, unter Windows als geplante Aufgabe SysMon. Außerdem verschickte das Skript bis zu 40 Namen von Umgebungsvariablen, die Bestandteile wie KEY, TOKEN oder AWS enthalten, ohne deren Werte.[3]
Der Code enthält Fehler: Fragt das Skript unter macOS ohne Administratorrechte ab, ob die „Entfernte Anmeldung“ aktiv ist, erhält es statt „Off“ eine Fehlermeldung und überspringt das Einschalten.[3] Laut Cursor scheiterte dieser Schritt fast überall. Schlüssel, Autostart und die Meldung an den Server blieben trotzdem.[1]
Wie gelangte die Fassung in den Marktplatz?
Open VSX ist ein Verzeichnis der Eclipse Foundation, aus dem unter anderem VSCodium, Cursor und Windsurf ihre Erweiterungen beziehen. Das Herausgeberkonto von Anthropic verwaltet dort laut StepSecurity seit 2025 ein Mitarbeiter von Anthropic, Version 2.1.313 erschien also im Namen des echten Herausgebers. Wie die Version dorthin kam, ist laut StepSecurity ungeklärt.[2] Die Erweiterung zählt in Open VSX rund 63 Millionen Downloads.[4]
Einen ähnlichen Fall gab es vor einem Jahr. Bei der Kampagne GlassWorm veröffentlichten Angreifer im Oktober 2025 Schad-Erweiterungen mit Zugangsschlüsseln, die Entwickler versehentlich öffentlich gemacht hatten. Die Eclipse Foundation kündigte danach kürzer gültige Schlüssel und eine automatische Prüfung jeder Erweiterung beim Veröffentlichen an.[5] Erst in der vergangenen Woche stahl das kompromittierte LiteLLM 1.107.0 auf PyPI Zugangsdaten von Entwicklerrechnern.
Eine Stellungnahme von Anthropic fand sich bis Freitagmittag nicht auf der GitHub-Sicherheitsseite von Claude Code.
Die Zahlen
Der Ablauf
Was sollten Firmen jetzt prüfen?
Betroffen ist, wer Version 2.1.313 am Donnerstag zwischen 10:27 und 21:35 Uhr deutscher Zeit aus Cursors Marktplatz installiert hat.[1] StepSecurity rät, jede bis Freitag installierte Version 2.1.313 als kompromittiert zu behandeln, auch aus Open VSX.[2] Für Unternehmen, die unter NIS2 fallen, kann ein befallener Entwicklerrechner meldepflichtig werden: Zählt er als erheblicher Sicherheitsvorfall, verlangt § 32 BSIG eine erste Meldung binnen 24 Stunden nach Kenntnis.[6]
Ein Update ist nur so vertrauenswürdig wie das Konto, das es hochlädt. Wer Entwicklerrechner verantwortet, braucht eine Liste aller Erweiterungen.
Markus Seyfferth, Chefredakteur Dr. Web
Cursor und Phorion nennen drei Schritte:[1][3]
- Schlüssel suchen: Im Terminal zeigt der Befehl
grep svc-telemetry ~/.ssh/authorized_keys, ob der fremde Schlüssel eingetragen ist. - Alle Spuren entfernen: Löschen Sie neben der Erweiterung den Autostart com.apple.sysmond oder die Aufgabe SysMon sowie die versteckten Dateien .smt und .smtk im Ordner .config. Cursor stellt dafür Skripte für macOS und Windows bereit.
- Zugangsdaten erneuern: Tauschen Sie von einem sauberen Gerät aus alle Schlüssel, die von dem Rechner aus erreichbar waren, und beenden Sie offene Sitzungen.
Quellen
6 Quellen anzeigenQuellen ausblenden
- CursorSecurity notice: malicious version of Anthropic.claude-code (2.1.313) identified in the Cursor Extension Marketplace
- StepSecurityTrojanized Claude Code Extension Delivered Persistent SSH Backdoor to Developer Machines, Rohan Prabhu
- PhorionOfficial Claude Code Extension Compromise: Security Advisory, Calum Hall
- Open VSXAnthropic.claude-code, Downloadzähler, abgerufen am 30. Oktober 2026
- Eclipse FoundationOpen VSX security update, October 2025, Mikaël Barbero
- Bundesministerium der Justiz§ 32 BSI-Gesetz, Meldepflichten
Mehr Newshunger?
- Zod 4.6.6 ist sauber: Der Schadcode kam nur bis ins Repository
- Railway: Angreifer lasen entschlüsselte Umgebungsvariablen von Kunden aus
- Tailscale schließt schwere Sicherheitslücken, über die SSH-Sitzungen volle Systemrechte erlangen konnten
- Bankenhacks in Südkorea: CrowdStrike findet DeepSeek in Claude Code
- Die Menschen, die das Internet stützen: Elf von 23 Kernprojekten hängen an ein oder zwei Personen
