Eine manipulierte Claude Code Extension hat am 29. Oktober 2026 im Erweiterungs-Marketplace des Code-Editors Cursor eine SSH-Hintertür auf Entwicklerrechnern eingerichtet. Betroffen war die Version 2.1.313 des Pakets Anthropic.claude-code, die laut Cursor nicht von Anthropic stammte. Rund elf Stunden lang stand sie zum Download bereit, nach Angaben von Cursor waren höchstens 5.000 Nutzer betroffen. Cursor hat die Version entfernt, den Marketplace vorübergehend abgeschaltet und neu aufgebaut. Gefährlich bleibt der Vorfall trotzdem: Wer die Version installiert hat, wird die Hintertür durch eine Deinstallation allein nicht los.
Der Fall reiht sich in eine Serie von Lieferkettenangriffen auf Entwickler-Werkzeuge ein. Wir fassen zusammen, was Cursor bestätigt hat, was Sicherheitsforscher im Schadcode gefunden haben und wie Betroffene prüfen, ob ihr Rechner kompromittiert ist.
Key Takeaways
- Die manipulierte Version 2.1.313 der Claude Code Extension war am 29. Oktober zwischen etwa 10:27 und 21:35 Uhr MEZ im Cursor-Marketplace verfügbar.
- Der Schadcode sammelt Systeminformationen, trägt einen fremden SSH-Schlüssel mit der Kennung „svc-telemetry“ in
authorized_keysein, versucht einen Reverse-SSH-Tunnel aufzubauen und richtet Autostart-Mechanismen ein. - Das Einschalten des lokalen SSH-Dienstes scheiterte laut Cursor auf den meisten macOS- und Windows-Rechnern, weil Administratorrechte fehlten und der Schadcode Fehler enthielt. Schlüssel, Persistenz und Datenübermittlung funktionierten dennoch.
- Der Server der Angreifer ist laut Cursor inzwischen offline. Andere Versionen oder Erweiterungen sind nach bisherigem Stand nicht betroffen.
- Betroffene sollten nach dem Schlüssel suchen, die Remediation-Skripte von Cursor nutzen und erreichbare Zugangsdaten von einem sauberen System aus erneuern.
Claude Code Extension 2.1.313: was im Cursor-Marketplace passiert ist
Cursor hat den Vorfall in einer Sicherheitsmitteilung öffentlich gemacht. Demnach war eine bösartig veränderte Fassung der Claude-Code-Erweiterung zwischen etwa 2:27 und 13:35 Uhr Pazifikzeit über den VS-Code-Extension-Marketplace von Cursor erhältlich. Umgerechnet ist das der Zeitraum von 10:27 bis 21:35 Uhr MEZ am 29. Oktober. Cursor betont, dass diese Version nicht von Anthropic entwickelt wurde, und will Betroffene direkt kontaktieren.
Nach eigener Darstellung hat Cursor die Version sofort nach der Entdeckung entfernt und die weitere Verteilung blockiert. Aus Vorsicht wurde anschließend der gesamte Marketplace abgeschaltet. Das Unternehmen prüfte die Zugriffe, fand nach eigenen Angaben keine weiteren manipulierten Erweiterungen, tauschte seine Schlüssel aus, baute den Marketplace neu auf und nahm ihn wieder in Betrieb. Gemeinsam mit dem Cloud-Anbieter, bei dem der Server der Angreifer lief, wurde dieser vom Netz genommen. Der Reverse-Tunnel und die Datenübermittlung funktionieren laut Cursor deshalb nicht mehr.
Offen ist, wie die manipulierte Version überhaupt in den Marketplace gelangte. Cursor nennt weder den Einfallsweg noch einen Verdächtigen. Im Open-VSX-Verzeichnis ist inzwischen Version 2.1.314 als aktuelle Fassung gelistet, veröffentlicht in der Nacht zum 30. Oktober um 2:07 Uhr MEZ. Version 2.1.313 lässt sich dort nicht mehr abrufen.
Was der Schadcode auf dem Rechner tut
Laut Cursor versucht die Erweiterung, eine dauerhafte SSH-Hintertür einzurichten. Im Einzelnen sammelt sie Hostname, Benutzername, Betriebssystem, Architektur, Home-Verzeichnis, Arbeitsverzeichnisse, die konfigurierte Git-E-Mail-Adresse, die öffentliche IP-Adresse und die Namen von Umgebungsvariablen. Anschließend hängt sie einen öffentlichen SSH-Schlüssel der Angreifer an die Datei authorized_keys an, versucht den lokalen SSH-Dienst zu aktivieren und baut einen Reverse-SSH-Tunnel zu einem externen Server auf. Über diesen Tunnel könnten sich die Angreifer von außen auf dem Rechner anmelden, ohne dass eine eingehende Verbindung durch eine Firewall muss.
Damit der Zugang einen Neustart übersteht, legt der Code auf macOS einen LaunchAgent und auf Windows eine geplante Aufgabe an, die als SYSTEM laufen soll, mit einem Autostart-Skript als Ausweichlösung. Hintergrundskripte versuchen etwa alle 60 Sekunden, den Tunnel neu aufzubauen. Die gesammelten Daten und den Status der Hintertür meldet die Erweiterung per HTTP an einen Endpunkt der Angreifer.
Das Sicherheitsunternehmen Phorion hat den Code in einer ausführlichen Analyse zerlegt. Demnach wurde der Schadcode als Funktion an den Anfang der gebündelten Datei extension.js gesetzt. Er läuft, sobald der Editor die Datei lädt, also noch bevor die Erweiterung regulär aktiviert wird. Nutzer mussten nichts anklicken. Bei den Umgebungsvariablen griff der Code laut Phorion nur die Namen ab, nicht die Werte, und zwar gezielt solche, die auf Schlüssel, Tokens, Passwörter oder Cloud-Zugänge hindeuten. Den Angreifern lieferte das eine Übersicht, welche Rechner sich für einen späteren Zugriff lohnen. Phorion fand zudem Code für Linux, der einen Cronjob als Autostart nutzt.
Warum die Hintertür oft nicht funktionierte
Eine gute Nachricht gibt es: Um den lokalen SSH-Dienst einzuschalten, braucht die Erweiterung Administratorrechte, die sie auf den meisten macOS- und Windows-Rechnern nicht hat. Laut Cursor schlug dieser Schritt deshalb fehl, außer in dem ungewöhnlichen Fall, dass Cursor mit Administratorrechten gestartet wurde. Phorion beschreibt zusätzlich einen Programmierfehler auf macOS: Der Code prüft den Status der Fernanmeldung ohne Rechte, erhält eine Fehlermeldung statt „Off“ und überspringt den Einschaltversuch komplett. Auf Windows ruft der Code laut Phorion einen PowerShell-Befehl über eine Hilfsfunktion auf, die fest /bin/sh verwendet.
Darauf verlassen sollte sich niemand. Wer die SSH-Fernanmeldung bereits aktiviert hatte oder sie später einschaltet, bietet den Angreifern einen offenen Zugang, solange der fremde Schlüssel eingetragen ist. Außerdem hat die Erweiterung auch bei gescheitertem SSH-Start den Schlüssel hinterlegt, die Persistenz eingerichtet und Systemdaten verschickt. Cursor weist ausdrücklich darauf hin, dass die begrenzte Erfassung von Umgebungsvariablen einen späteren Zugriff auf Zugangsdaten über die Hintertür nicht ausschließt.
So prüfen Entwickler, ob sie betroffen sind
Relevant ist der Vorfall für alle, die Anthropic.claude-code 2.1.313 am 29. Oktober im genannten Zeitfenster über den Cursor-Marketplace installiert oder aktualisiert haben. Für andere Versionen und die offizielle Distribution hat Cursor nach eigenen Angaben keine Hinweise auf eine Manipulation. Der schnellste Test ist die Suche nach dem Schlüssel-Kommentar „svc-telemetry“:
- macOS und Linux:
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "Schlüssel gefunden" - Windows: die Dateien
%USERPROFILE%\.ssh\authorized_keysundC:\ProgramData\ssh\administrators_authorized_keysnach „svc-telemetry“ durchsuchen. Cursor stellt dafür einen PowerShell-Befehl bereit. - Installierte Version: in der Erweiterungsübersicht von Cursor oder im Erweiterungsordner nach einem Verzeichnis
anthropic.claude-code-2.1.313suchen.
Phorion rät, zusätzlich nach dem Fingerabdruck des Schlüssels zu suchen, weil der Code nur den Kommentar prüft. Weitere Spuren sind laut Cursor die Dateien ~/.config/.smt und ~/.config/.smtk, temporäre Dateien mit dem Präfix .stk_, auf macOS der LaunchAgent com.apple.sysmond.plist und auf Windows die geplante Aufgabe „SysMon“ oder ein Startskript sysmon.cmd. Im Netzwerk fallen SSH-Verbindungen und HTTP-Anfragen an Port 8099 zur IP-Adresse 134.209.82.225 auf.
Was Betroffene jetzt tun sollten
Cursor empfiehlt ein Vorgehen in fünf Schritten: Betroffenheit prüfen, Endpoint-, Netzwerk- und Installationsdaten nach den Indikatoren durchsuchen, auffällige Rechner isolieren, Schlüssel, Persistenz und Tunnel-Prozesse mit den bereitgestellten Skripten entfernen und schließlich alle von diesem Rechner aus erreichbaren Zugangsdaten und Sitzungen von einem vertrauenswürdigen System aus erneuern. Das Skript für macOS läuft als betroffener Benutzer, nicht als root, das Windows-Skript in einer PowerShell mit Administratorrechten. Ob ein Rechner neu aufgesetzt werden muss, sollen Teams im Einzelfall bewerten.
Wichtig für die Forensik: Weil Anmeldungen über den Tunnel lokal ankommen, erscheinen sie laut Phorion in den SSH-Logs als Verbindung von 127.0.0.1 oder ::1 mit dem Schlüssel „svc-telemetry“. Wer solche Einträge findet, sollte von einem tatsächlichen Zugriff ausgehen. Erst nach der Bereinigung sollten Betroffene auf eine aktuelle, saubere Version der Erweiterung wechseln.
Einordnung: Editor-Erweiterungen als Einfallstor
Der Fall zeigt, wie viel Vertrauen Entwickler in Erweiterungen setzen. Eine Extension läuft mit den Rechten des Editors und damit des Benutzers. Sie hat Zugriff auf Quellcode, SSH-Schlüssel, Git-Konfiguration und lokale Werkzeuge. Besonders heikel ist, dass hier ein bekanntes, viel genutztes Paket unter seinem regulären Namen und einer plausiblen Versionsnummer verteilt wurde. Wer automatische Updates aktiviert hat, bekam die manipulierte Fassung ohne eigenes Zutun.
Ähnliche Muster gab es zuletzt bei Paketregistern: beim LiteLLM-Supply-Chain-Angriff über PyPI und Docker und bei den 14 npm-Paketen, die per Dependency Confusion Build-Umgebungen ausspähten. Auch der Polymarket-Hack über ein Drittanbieter-Skript vom selben Tag folgt dem Prinzip, über einen vertrauenswürdigen Lieferanten einzudringen. Für Teams heißt das: Erweiterungen gehören in die Software-Inventur, Versionen sollten in sensiblen Umgebungen festgeschrieben werden, und Schreibzugriffe von Editor-Prozessen auf ~/.ssh sind ein Alarmsignal, das Endpoint-Lösungen melden sollten.
Fazit
Die manipulierte Claude Code Extension war nur wenige Stunden online, und Programmierfehler haben die Wirkung auf vielen Rechnern begrenzt. Ein Entwarnungssignal ist das nicht. Auf betroffenen Systemen liegen ein fremder Schlüssel und Autostart-Einträge, die eine Deinstallation überleben. Wer Cursor mit der Claude-Code-Erweiterung nutzt, sollte die Prüfung in wenigen Sekunden durchführen und bei einem Treffer konsequent bereinigen und Zugangsdaten erneuern. Ungeklärt ist bislang, wie die Angreifer die Version in den Marketplace bringen konnten. Davon hängt ab, ob ähnliche Angriffe künftig verhindert werden können.
