Claude Code 2.1.313: Manipulierte Erweiterung installierte SSH-Backdoor

Eine kompromittierte Version der offiziellen Claude-Code-Erweiterung für VS Code wurde über das Open-VSX-Verzeichnis und den Cursor-Marktplatz verbreitet. Sie versuchte, auf Entwicklerrechnern unter macOS, Linux und Windows eine dauerhafte SSH-Backdoor zu installieren. Betroffen ist Version 2.1.313.

Die Sicherheitsforscher von Phorion bemerkten die verdächtigen Aktivitäten auf Endgeräten als Erste. Sie riefen Unternehmen auf, ihre Umgebungen auf Version 2.1.313 zu prüfen und im Fund­fall die Incident-Response einzuleiten. Im offiziellen Microsoft Visual Studio Marketplace tauchte der Build nie auf. Anthropic hat ihn inzwischen durch Version 2.1.314 ersetzt; eine unabhängige Prüfung fand in der neuen Version keinen Schadcode.

Was die Schadsoftware tat

Laut Cursor, das den Vorfall bestätigte und von höchstens 5.000 betroffenen Nutzern spricht, sammelte die Erweiterung Hostnamen, Benutzernamen, Betriebssystem, Architektur, Pfad des Home-Verzeichnisses, Namen von Umgebungsvariablen, Arbeitsverzeichnisse, die konfigurierte Git-E-Mail-Adresse und die öffentliche IP-Adresse.

Anschließend versuchte sie, einen vom Angreifer kontrollierten Schlüssel in die Datei authorized_keys einzutragen, den lokalen SSH-Dienst zu aktivieren und einen umgekehrten SSH-Tunnel zu öffnen. Wegen Fehlern im Schadcode scheiterte dieser Schritt meist, außer in seltenen Fällen, in denen Cursor mit Administratorrechten lief. Zur Persistenz nutzte der Code unter macOS einen LaunchAgent und unter Windows eine geplante Aufgabe; etwa alle 60 Sekunden wurde versucht, den Tunnel wiederherzustellen. Statusdaten gingen per HTTP-POST an einen /beacon-Endpunkt auf Port 8099.

Cursor entfernte nach eigenen Angaben die Erweiterung, schaltete seinen VS-Code-Marktplatz zeitweise ab, prüfte die Zugriffe und fand keine weiteren kompromittierten Erweiterungen. Zudem wurden Schlüssel erneuert, der Marktplatz neu aufgebaut und der Schadserver gemeinsam mit dem Hoster abgeschaltet.

Was Nutzer jetzt tun sollten

Das Update auf 2.1.314 entfernt eine bereits installierte Backdoor nicht und macht frühere Aktivitäten nicht rückgängig; Betroffene müssen ihre Systeme selbst prüfen. Cursor betont, die Version stamme nicht von Anthropic, doch wurde sie über Anthropics verifiziertes Konto hochgeladen – das spricht für einen Lieferkettenangriff. Die Schadversion wurde offenbar ohne Benachrichtigung der Kunden entfernt.

Zuvor hatte Claude Code v2.1.311 eine Umgebungsvariable erhalten, mit der der KI-Agent Dateien ohne Rückfrage löschen kann.