Im Erweiterungs-Marktplatz der Entwicklungsumgebung Cursor ist eine manipulierte Version der Erweiterung „Claude Code for VS Code“ aufgetaucht, die eine SSH-Hintertür enthielt. Das berichtet heise online unter Berufung auf eine Analyse des Sicherheitsunternehmens Phorion. Cursor bestätigt in einem Sicherheitshinweis, dass die bösartigen Versionen 2.1.312 und 2.1.313 kurzzeitig im Marktplatz verfügbar waren und nicht von Anthropic stammen. Laut heise war die Version 2.1.313 am Donnerstag zwischen 10:27 und 21:35 Uhr mitteleuropäischer Zeit online; Reuters spricht von bis zu 5000 betroffenen Nutzern.
Erweiterungen laufen mit den Rechten der Entwicklungsumgebung und haben damit Zugriff auf lokale Dateien, Quellcode und Entwicklerwerkzeuge. Die Backdoor hatte laut Analyse einen Logikfehler, durch den sie unter macOS SSH meist nicht aktivierte. Sie legte aber dennoch SSH-Schlüssel ab, nistete sich dauerhaft ein und übermittelte Informationen über den Rechner. Microsoft hat die Schadsoftware in seinem Security-Blog ebenfalls detailliert analysiert.
Wer die betroffenen Versionen installiert hat, sollte auf mindestens Version 2.1.314 aktualisieren. Das Deinstallieren allein entfernt die Hintertür nicht: Admins müssen laufende Tunnel-Prozesse beenden, Persistenz-Einträge entfernen, den Schlüssel „svc-telemetry“ aus der Datei authorized_keys löschen und bei Verdacht Zugangsdaten wechseln.
