Claude Code: Cursor-Nutzer sollten jetzt nach der Hintertür suchen

Wer im KI-Editor Cursor mit der Claude-Code-Erweiterung von Anthropic arbeitet, sollte heute kurz nachsehen. Am 29. Oktober stand im Cursor-Marktplatz knapp elf Stunden lang eine manipulierte Fassung der Erweiterung zum Download, von 10:27 bis 21:35 Uhr deutscher Zeit. Betroffen sind laut dem Sicherheitshinweis von Cursor die Versionen 2.1.312 und 2.1.313 für Windows und macOS. Bei eingeschalteten automatischen Updates kam die Schadversion womöglich ganz ohne eigenes Zutun auf den Rechner.

Was die Erweiterung auf dem Rechner anrichtet

Äußerlich glich die Erweiterung dem Original und funktionierte auch so. Vor dem eigentlichen Programmcode saß jedoch ein kurzer Lader, der schon beim Start des Editors anspringt, ein Chat mit Claude ist dafür gar nicht nötig. Er schickt Rechnername, Benutzername, Betriebssystem, die hinterlegte Git-Mailadresse und die öffentliche IP-Adresse an einen Server der Angreifer, dazu die Namen von Umgebungsvariablen, die nach Passwort oder Token klingen. Außerdem trägt er einen fremden SSH-Schlüssel mit dem Namen „svc-telemetry“ ein und richtet einen Autostart ein, unter macOS als LaunchAgent, unter Windows als geplante Aufgabe.

Ganz aufgegangen ist der Plan meist nicht. Für den eigentlichen Fernzugang per SSH-Tunnel fehlten der Erweiterung auf den meisten Rechnern die Adminrechte. Den Server der Angreifer hat Cursor inzwischen gemeinsam mit dem Hoster abgeschaltet. Die Systemdaten sind trotzdem abgeflossen, und Schlüssel samt Autostart bleiben liegen, bis jemand sie entfernt.

Anthropic sieht den Fehler bei Cursor

Anthropic betont, die eigenen Systeme seien nicht betroffen. Ein Angreifer habe Zugang zum Marktplatz von Cursor genutzt, um eine veränderte Kopie zu veröffentlichen, schrieb Anthropic-Entwickler Felix Rieseberg laut The Register. Die Fassungen im Microsoft-Marktplatz und bei Open VSX sowie das npm-Paket gelten als sauber. Wie der Angreifer an den Zugang kam, haben beide Firmen bislang nicht erklärt. Cursor spricht laut The Hacker News von höchstens 5.000 Betroffenen und will sie direkt anschreiben. Es ist der dritte Fall binnen einer Woche, in dem Angreifer den Namen Claude ausnutzen, nach falschen Download-Seiten direkt auf claude.ai und Fake-Apps mit echten Installern.

So prüfst du deinen Rechner

Das Update auf die saubere Version 2.1.314 reicht nicht, weil die Autostart-Skripte unabhängig von der Erweiterung weiterlaufen. Cursor nennt einen einfachen Test. Auf dem Mac sucht man im Terminal in der Datei ~/.ssh/authorized_keys nach „svc-telemetry“, unter Windows in der PowerShell in der gleichnamigen Datei im Ordner .ssh des Benutzerprofils und in C:\ProgramData\ssh\administrators_authorized_keys. Taucht der Eintrag auf, ist der Rechner betroffen.

Dann hilft nur gründliches Aufräumen. Cursor stellt für beide Systeme Bereinigungsskripte bereit, die Erweiterung, Schlüssel, Autostarts und laufende Tunnel entfernen. Anschließend sollten alle Passwörter, Tokens und API-Schlüssel, die von diesem Rechner aus erreichbar waren, neu vergeben werden, und zwar von einem anderen, sauberen Gerät aus. Am sichersten ist ein frisch aufgesetztes System.