Manipulierte Claude-Code-Erweiterung: Lehren fürs Team
Im Cursor-Marktplatz lag eine manipulierte Claude-Code-Erweiterung mit SSH-Backdoor. Was passiert ist, wie Sie Betroffenheit prüfen, was Teams daraus lernen.
- 1Betroffene Rechner findenWer hat Version 2.1.312 oder 2.1.313 im Zeitfenster installiert oder aktualisiert? Nach dem Schlüssel svc-telemetry suchen.
- 2Telemetrie durchsuchenEndpoint-, Netzwerk- und Installationsdaten auf die veröffentlichten Indikatoren prüfen.
- 3Hosts isolierenRechner mit Hinweisen auf ausgeführten Schadcode vom Netz nehmen.
- 4Persistenz entfernen, nicht nur deinstallierenSSH-Key, Autostart-Einträge und laufende Tunnel-Prozesse beseitigen, Neuaufsetzen prüfen.
- 5Zugangsdaten rotierenAlle vom Host erreichbaren Credentials und Sessions von einem vertrauenswürdigen System aus erneuern.
Grafik: Vibecoding Training · Grundlage: die Quellen unten
Ein Entwickler aktualisiert morgens seine Erweiterungen in Cursor, wie jeden Tag. Darunter ist auch die Claude-Code-Erweiterung, die das halbe Team nutzt. Niemand prüft, was in dem Update steckt, denn es kommt ja aus dem Marktplatz. Genau dieses Szenario ist am 29. Oktober eingetreten. Für Teamleads ist die Frage danach nicht nur, ob jemand betroffen war, sondern warum niemand schnell sagen konnte, wer welche Erweiterung in welcher Version installiert hat.
Was passiert ist
Laut dem Sicherheitshinweis von Cursor lag im Cursor VS Code Extension Marketplace eine manipulierte Fassung von Anthropic.claude-code in den Versionen 2.1.312 und 2.1.313 für Windows und macOS. Die Versionen stammten nicht von Anthropic. Sie waren am 29. Oktober zwischen etwa 2:27 und 13:35 Uhr pazifischer Zeit verfügbar. heise beruft sich auf Reuters, wonach bis zu 5000 Nutzer betroffen sind.
Der Schadcode versuchte, eine dauerhafte SSH-Hintertür einzurichten. Im Einzelnen:
- Er sammelte Hostname, Benutzername, Betriebssystem, Home-Verzeichnis, die Namen der Umgebungsvariablen, Arbeitsverzeichnisse, die konfigurierte Git-E-Mail und die öffentliche IP und schickte sie an die Angreifer.
- Er trug einen SSH-Schlüssel der Angreifer in
authorized_keysein, versuchte den lokalen SSH-Dienst zu starten und einen Reverse-Tunnel aufzubauen. - Er richtete Persistenz ein: einen LaunchAgent unter macOS, unter Windows eine geplante Aufgabe mit Startup-Skript als Ausweichweg.
Glück im Unglück: Das Aktivieren von SSH braucht auf den meisten Rechnern Admin-Rechte, und der Schadcode enthielt Logikfehler. Der Login über den Tunnel scheiterte deshalb in der Regel. Schlüssel, Persistenz und Datenabfluss blieben aber. Cursor hat die Version entfernt, den Marktplatz vorsorglich abgeschaltet, Schlüssel rotiert und ihn neu aufgebaut. Der Server der Angreifer ist laut Cursor offline.
Betroffenheit prüfen
Der eingetragene Schlüssel trägt die Bezeichnung svc-telemetry. Unter macOS reicht laut Cursor ein Befehl:
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"Für Windows veröffentlicht Cursor ein entsprechendes PowerShell-Snippet, außerdem Bereinigungsskripte für beide Plattformen und eine Liste von Indicators of Compromise. Wichtig: Deinstallieren allein reicht nicht. Laut der von heise zitierten Analyse von Phorion müssen aktive Tunnel-Prozesse beendet und die Persistenz-Einträge entfernt werden, etwa ~/Library/LaunchAgents/com.apple.sysmond.plist unter macOS, ein @reboot-Cron-Eintrag unter Linux oder die geplante Aufgabe SysMon unter Windows. Danach gehören alle vom Rechner erreichbaren Zugangsdaten und Sessions rotiert, und zwar von einem vertrauenswürdigen System aus.
Das eigentliche Problem: Erweiterungen laufen mit Ihren Rechten
Die Analyse benennt den Kern: Erweiterungen laufen mit den Rechten der IDE und des Nutzers, der sie startet. Eine Hintertür in einer Erweiterung hat damit sofort Zugriff auf lokale Dateien, Quellcode und Entwickler-Tools. Für ein Team, das KI-Coding-Tools einsetzt, ist das besonders heikel, weil auf diesen Rechnern typischerweise Repository-Zugänge, Cloud-Credentials und API-Keys liegen.
Wir haben ähnliche Fragen schon beim Freigeben von MCP-Servern und beim Thema Daten, die ein Agent nach außen schickt behandelt. Die Erweiterung selbst ist dieselbe Kategorie: Code von Dritten mit vollem Zugriff auf die Entwicklungsumgebung.
Was das für Ihr Entwicklerteam bedeutet
Aus dem Vorfall lassen sich vier Aufgaben für das Team ableiten:
- Inventar. Sie sollten beantworten können, wer welche Erweiterung in welcher Version aus welchem Marktplatz installiert hat. Cursors erster Schritt lautet nicht ohne Grund, Installations-Telemetrie zu durchsuchen.
- Freigabeliste. KI-Erweiterungen gehören in dieselbe Freigabe wie MCP-Server und andere Tools mit Zugriff auf Code und Credentials. Welche Tools freigegeben sind, steht am besten in einer gemeinsamen Teamregel.
- Runbook. Die fünf Schritte aus dem Hinweis (prüfen, Telemetrie durchsuchen, isolieren, Persistenz entfernen, Credentials rotieren) taugen als Vorlage für ein eigenes Vorgehen bei kompromittierten Entwickler-Tools.
- Secrets minimieren. Je weniger langlebige Zugangsdaten auf Entwicklerrechnern liegen, desto kleiner ist der Schaden, wenn eine Erweiterung kippt. Mehr dazu auf unserer Seite Sicherheit.
Nichts davon erfordert, auf KI-Erweiterungen zu verzichten. Es erfordert, sie wie jede andere Abhängigkeit mit Zugriff auf Ihr Repository zu behandeln.
Fazit
Die manipulierte Erweiterung war nur einige Stunden online, und ihr Schadcode funktionierte nicht einmal wie geplant. Trotzdem landeten Rechnerdaten bei den Angreifern und Persistenz auf den Rechnern. Teams, die wissen, welche Tools wo laufen, und ein eingeübtes Vorgehen haben, sind in solchen Fällen in Minuten statt Tagen handlungsfähig.
Sie wollen Freigaben, Teamregeln und Sicherheitsgrenzen für KI-Coding-Tools gemeinsam mit Ihrem Team am eigenen Setup festlegen? Inhouse-Training anfragen.
Häufige Fragen
Welche Versionen der Claude-Code-Erweiterung waren im Cursor-Marktplatz manipuliert?
Laut Sicherheitshinweis von Cursor waren die Versionen 2.1.312 und 2.1.313 von Anthropic.claude-code für Windows und macOS betroffen, verfügbar am 29. Oktober 2026 zwischen etwa 2:27 und 13:35 Uhr pazifischer Zeit. Die Versionen stammten nicht von Anthropic.
Wie prüfe ich, ob mein Rechner betroffen ist?
Die Schadsoftware trägt einen öffentlichen SSH-Schlüssel mit der Bezeichnung svc-telemetry in die authorized_keys-Datei ein. Findet sich dieser Schlüssel, ist der Rechner laut Cursor betroffen.
Reicht es, die Erweiterung zu deinstallieren?
Nein. Laut Cursor und der Analyse von Phorion legt der Schadcode eigenständige Persistenz an, etwa einen LaunchAgent unter macOS oder eine geplante Aufgabe unter Windows. Diese laufen nach dem Deinstallieren weiter und müssen gezielt entfernt werden.
Konnten Angreifer sich tatsächlich per SSH einloggen?
Auf den meisten macOS- und Windows-Rechnern nicht, weil das Einschalten des SSH-Dienstes Admin-Rechte braucht und der Schadcode Fehler enthielt. Der Angreifer-Schlüssel wurde aber eingetragen, Persistenz eingerichtet und Rechnerdaten wurden übertragen.