Am 29. Oktober 2026 verteilte der Erweiterungs-Marktplatz des Cursor-Code-Editors ein betrügerisches Update von Claude Code, dem Programmierassistenten von Anthropic. Die bösartige Version, identifiziert als 2.1.313, war etwa elf Stunden lang zwischen 10:27 und 21:35 Uhr Pariser Zeit online verfügbar, bevor sie entfernt wurde. In einer am selben Tag veröffentlichten Sicherheitswarnung bestätigte Cursor, dass die Erweiterung nicht von Anthropic entwickelt wurde, und schätzte, dass sie von maximal 5.000 Nutzern heruntergeladen wurde, die das Unternehmen direkt kontaktieren wird.
Laut offiziellen Mitteilungen bestand das Hauptziel der kompromittierten Erweiterung darin, den Computer des Opfers zu profilieren. Nach der Installation sammelte sie sensible Informationen, darunter das Betriebssystem, die Prozessorarchitektur, den Pfad zum persönlichen Ordner, die konfigurierte Git-E-Mail-Adresse und die öffentliche IP-Adresse, und sandte diese Daten an einen vom Angreifer kontrollierten Server. Das Malware versuchte dann, einen persistenten Fernzugriff herzustellen, indem es einen SSH-Schlüssel des Angreifers unter dem Namen "svc-telemetry" in die Liste der autorisierten Schlüssel injizierte. Anschließend versuchte es, den lokalen SSH-Dienst zu aktivieren und einen Reverse-Tunnel zu öffnen, wodurch der Angreifer Verbindungen vom Computer des Opfers zurück zu seinem Server nach Belieben initiieren konnte. Um die Persistenz über Neustarts hinweg sicherzustellen, installierte die Erweiterung zudem spezifische Mechanismen, um ihre Präsenz im System aufrechtzuerhalten.
Der Angriff war jedoch nur teilweise erfolgreich aufgrund von Fehlern im bösartigen Code. Cursor berichtete, dass der Versuch, den Reverse-Tunnel zu öffnen, in den meisten Fällen scheiterte, mit Ausnahme des höchst ungewöhnlichen Szenarios, in dem Cursor mit Administratorrechten gestartet wurde. Die Aktivierung des lokalen SSH-Diensts erfordert diese erhöhten Rechte, über die die Erweiterung auf den meisten macOS- und Windows-Computern nicht verfügte. Trotz des Scheiterns des Tunnels waren die betroffenen Maschinen nicht völlig sicher; der Schlüssel des Angreifers wurde dennoch hinzugefügt, Persistenz-Skripte wurden installiert und Systeminformationen wurden abgegriffen, selbst wenn der Versuch des Fernzugriffs fehlschlug. Cursor gab an, mit dem Cloud-Host zusammengearbeitet zu haben, um den bösartigen Server außer Betrieb zu nehmen.
Nach der Entdeckung entfernte Cursor die bösartige Version sofort, blockierte ihre Verteilung und schloss vorsorglich vorübergehend seinen gesamten Erweiterungs-Marktplatz. Diese Schließung ermöglichte es dem Unternehmen zu überprüfen, ob keine anderen Erweiterungen kompromittiert waren, bevor der Store wieder aufgebaut wurde. Eine zentrale Frage bleibt offen, wie es dem Angreifer gelang, eine Version der Erweiterung mit dem Namen von Anthropic innerhalb des Cursor-Marktplatzes zu veröffentlichen, da die Sicherheitswarnung die Methode zur Umgehung der Überprüfung nicht erklärte.
Quellen: Numerama.