Cursor: Claude-Code-Erweiterung mit SSH-Backdoor

Manipulierte Erweiterung im Cursor-Marktplatz

Im Marktplatz des KI-Code-Editors Cursor ist eine manipulierte Version der Erweiterung „Claude Code for VS Code“ aufgetaucht. Die Version 2.1.313 enthielt eine SSH-Backdoor und stammte nach Angaben der Betreiber nicht von Anthropic.

Cursor basiert auf Microsoft Visual Studio Code, verwendet aber einen eigenen Marktplatz für Erweiterungen. Das infizierte Paket war an einem Donnerstag von 10:27 bis 21:35 Uhr MEZ verfügbar. Bis zu 5.000 Nutzer könnten die Erweiterung bezogen haben.

Kennzahl	Angabe
Manipulierte Version	2.1.313
Bereinigte Version	Mindestens 2.1.314
Zeitfenster	10:27 bis 21:35 Uhr MEZ an einem Donnerstag
Möglicherweise betroffene Nutzer	Bis zu 5.000
Betroffene Plattformen	Windows, macOS und Linux

Warum IDE-Erweiterungen besonders kritisch sind

Erweiterungen für eine integrierte Entwicklungsumgebung, kurz IDE, laufen mit den Rechten der Anwendung und des angemeldeten Benutzers. Eine kompromittierte Erweiterung kann deshalb potenziell auf lokalen Quellcode, Dateien, Entwicklerwerkzeuge, API-Schlüssel und weitere Zugangsdaten zugreifen.

Eine Erweiterung aus einem ungeprüften Marktplatz ist kein harmloses Zusatzmodul. Sie wird Teil der vertrauenswürdigen Entwicklungsumgebung und kann damit direkten Zugang zu geistigem Eigentum und internen Systemen erhalten.

Die Schadsoftware enthielt Routinen für Windows, macOS und Linux. Unter anderem hinterlegte sie eigene SSH-Schlüssel, richtete persistente Autostarts ein und übermittelte Systeminformationen an die Angreifer.

Wie das manipulierte Paket in den Cursor-Marktplatz gelangte, ist bislang nicht geklärt. Ebenso bleibt offen, ob und in welchem Umfang Quellcode oder andere Unternehmensdaten tatsächlich abgeflossen sind.

Logikfehler begrenzte die Backdoor unter macOS

Unter macOS funktionierte die automatische Aktivierung des SSH-Zugangs häufig nicht wie vorgesehen. Die Malware prüfte den Status des Remote-Logins mit systemsetup, verfügte dabei aber nicht über die erforderlichen Root-Rechte.

Der Befehl lieferte deshalb eine Fehlermeldung, die das Schadskript falsch auswertete. Die SSH-Aktivierung wurde in diesen Fällen übersprungen. Systeminformationen wurden dennoch übertragen, zudem konnten SSH-Schlüssel und Mechanismen für einen dauerhaften Start auf dem Rechner verbleiben.

Der Fehler reduziert das Risiko eines erfolgreichen Fernzugriffs, beseitigt die Kompromittierung aber nicht. Unternehmen sollten betroffene Systeme daher nicht allein aufgrund einer fehlgeschlagenen SSH-Aktivierung als sicher betrachten.

Deinstallation allein reicht nicht aus

Die Erweiterung sollte mindestens auf Version 2.1.314 aktualisiert werden. Eine reine Aktualisierung oder Deinstallation entfernt jedoch keine bereits gestarteten Prozesse und keine dauerhaft eingerichteten Autostarts.

Für die technische Bereinigung sind je nach Betriebssystem mehrere Schritte erforderlich:

• Aktive Tunnel- und Hintergrundprozesse stoppen.
• Unter macOS den LaunchAgent ~/Library/LaunchAgents/com.apple.sysmond.plist entladen und löschen.
• Unter Linux den zugehörigen @reboot-Eintrag aus Cron entfernen.
• Unter Windows die geplante Aufgabe SysMon sowie das Startskript löschen.
• Die Dateien ~/.config/.smt und ~/.config/.smtk entfernen.
• Den öffentlichen Schlüssel svc-telemetry aus ~/.ssh/authorized_keys löschen.
• Sitzungsreste unter /tmp/.stk_* beseitigen.

War SSH bereits aktiviert oder gibt es Hinweise auf eingehende Verbindungen, sollten betroffene Zugangsdaten ausgetauscht werden. Zusätzlich ist eine Prüfung aller Entwicklerrechner anhand der bekannten Indicators of Compromise sinnvoll. Diese technischen Merkmale können Dateien, Prozesse, Schlüssel oder Autostarts umfassen, die auf eine Infektion hindeuten.

Konsequenzen für Softwareteams im DACH-Raum

Cursor und andere KI-Coding-Werkzeuge werden auch in deutschen, österreichischen und Schweizer Unternehmen zunehmend eingesetzt. Damit wächst nicht nur die Produktivität, sondern auch die Angriffsfläche auf besonders sensible Arbeitsplätze.

IT-Verantwortliche sollten den Bezug von IDE-Erweiterungen über Dritt-Marktplätze reglementieren. Sinnvoll sind zentrale Freigaben, eine Inventarisierung installierter Erweiterungen und eine Begrenzung auf geprüfte Versionen. Der Vorfall ähnelt damit anderen Angriffen auf Entwicklungswerkzeuge, etwa dem Supply-Chain-Angriff auf LiteLLM.

Besonders kritisch ist die Kombination aus lokalem Quellcode und dauerhaft gespeicherten Zugangsdaten. Welche Kosten ein entwendeter API-Schlüssel verursachen kann, zeigte bereits der Schlüsseldiebstahl bei OpenCode.

Eigene KI-gestützte Entwicklung kann Abhängigkeiten von teuren Software-Abos reduzieren. Sie verlagert jedoch Verantwortung in das Unternehmen. Wer Editoren, Modelle und Erweiterungen selbst auswählt, benötigt deshalb ebenso konsequente Sicherheitsregeln wie beim Betrieb eigener Infrastruktur.