Backdoor im Marktplatz: Wie eine manipulierte Claude-Code-Erweiterung bei Cursor landete

Eine manipulierte Version der Claude-Code-Erweiterung hat am 29. Oktober 2026 rund 11 Stunden lang versucht, über den Marktplatz des Code-Editors Cursor eine Backdoor auf Entwicklerrechnern einzurichten. Der Zugriff über diese Hintertür scheiterte auf den meisten Rechnern an Fehlern im Schadcode. Der Schlüssel der Angreifenden und Autostart-Skripte landeten laut dem Sicherheitshinweis von Cursor trotzdem auf den Geräten. Laut OX Security vom 30. Oktober waren bis zu 5000 Nutzende potenziell betroffen. Die Zahl stammt von Cursor.

Ein Update, das niemand bestellt hat: Was am 29. Oktober im Marktplatz lief

Die Erweiterung mit der Backdoor war laut Cursor am 29. Oktober 2026 zwischen etwa 2:27 Uhr PT und 13:35 Uhr PT im Erweiterungsmarktplatz des Editors abrufbar. PT steht für Pacific Time, die Zeit an der US-Westküste. StepSecurity nennt für dasselbe Fenster 9:27 Uhr bis 20:35 Uhr UTC. Der Marktplatz ist der Laden, über den der Editor seine Zusatzprogramme bezieht. Cursor selbst ist laut BleepingComputer vom 30. Oktober ein KI-Code-Editor auf Basis von Microsofts quelloffenem Visual Studio Code.

Claude Code ist laut BleepingComputer der KI-Assistent von Anthropic. Er reagiert beim Schreiben und Debuggen von Code auf Anweisungen in natürlicher Sprache. Die schädlichen Versionen stammen laut Cursor nicht von Anthropic. Über den Claude-Code-Leak hat digital-magazin.de bereits berichtet.

Welche Versionen betroffen sind, hat sich am 30. Oktober verschoben. OX Security und BleepingComputer nennen in ihren Berichten dieses Tages die Version 2.1.313. Cursor hat seinen Hinweis am 30. Oktober um 11:30 Uhr PT aktualisiert. Er führt nun 2.1.312 und 2.1.313 auf, jeweils für Windows und macOS. Laut StepSecurity ist die 2.1.312 aus der offenen Erweiterungs-Registry Open-VSX sauber. Die schädliche 2.1.312 gibt es demnach nur im Marktplatz von Cursor, trotz gleicher Versionsnummer.

Anthropic hat den Umfang laut StepSecurity eingegrenzt. Felix Rieseberg von Anthropic erklärte demnach, es habe keinen Einbruch in Anthropics Systeme oder in Laptops von Mitarbeitenden gegeben. Eine angreifende Person habe Zugang zum Marktplatz von Cursor genutzt und dort eine manipulierte Kopie veröffentlicht. Die Version 2.1.313 erschien laut Anthropic nie auf Open-VSX, im Visual Studio Marketplace von Microsoft oder auf offiziellen Hosts. Anthropic übersprang die Nummer und veröffentlichte als nächste Version 2.1.314, um Verwechslungen zu vermeiden.

BleepingComputer schreibt, frühe Meldungen hätten auch Open VSX und den Visual Studio Code Marketplace von Microsoft als Quellen genannt. Später sei bestätigt worden, dass nur Cursor die Erweiterung verteilte.

Der Fall ist ein Supply-Chain-Angriff. Das ist ein Angriff über Software, der Entwickelnde ohnehin vertrauen. Einen Fall mit Behördensoftware beschreibt der Bericht über die CERT-EU-Warnung vor einem Supply-Chain-Angriff.

Vier Stufen, null Klicks: Was der Loader auf dem Rechner anstellt

Der Schadcode steckt als kleiner Loader am Anfang der Datei extension.js. Er startet, sobald die Erweiterung geladen wird. Ein Loader ist ein kurzes Startprogramm, das die Einrichtung der Backdoor anstößt. Den übrigen Code der Erweiterung fanden die Forschenden von Phorion und OpenSourceMalware laut BleepingComputer unverändert. StepSecurity beziffert die manipulierte Datei auf rund 7 KB mehr als in der vorherigen sauberen Version.

Die Ausführung braucht laut BleepingComputer keine Interaktion mit Claude Code. Laut StepSecurity läuft der Loader unter reinem Node.js, der JavaScript-Laufzeitumgebung. Das Laden des Moduls genügt. OX Security gliedert den Ablauf in vier Stufen.

Stufe 1 ist die Erkundung. Der Code sammelt laut Cursor Hostnamen, Benutzernamen, Betriebssystem, Architektur, den Pfad des Home-Verzeichnisses, Namen von Umgebungsvariablen, Arbeitsverzeichnisse, die konfigurierte Git-E-Mail-Adresse und die öffentliche IP-Adresse. Umgebungsvariablen sind Einstellungen, die das System Programmen beim Start mitgibt. Die öffentliche Adresse erfragt der Code bei ifconfig.me und api.ipify.org. Beide Dienste sind legitim. Ein Zugriff allein ist laut Cursor kein Indikator.

Stufe 2 legt die Backdoor. Der Code hängt laut OX Security den Schlüssel der Angreifenden mit der Bezeichnung svc-telemetry an die Datei authorized_keys an. In dieser Datei führt ein SSH-Server die Schlüssel aller, die sich ohne Passwort anmelden dürfen. SSH ist das gängige Protokoll für den Fernzugriff auf Rechner. Anschließend versucht der Code, den lokalen SSH-Dienst zu aktivieren. Dazu will er einen Reverse-SSH-Tunnel zu tunnel@134[.]209[.]82[.]225 über TCP-Port 22 öffnen.

Bei einem Reverse-Tunnel baut der betroffene Rechner die Verbindung nach außen auf. Die Gegenseite kann sie dann für den Zugriff nutzen.

Stufe 3 sorgt dafür, dass die Backdoor die Erweiterung überlebt. Das Fachwort dafür ist Persistenz. Unter macOS legt der Code laut Cursor einen LaunchAgent an, also einen Autostart-Eintrag des Systems. Unter Windows entsteht eine geplante Aufgabe namens SysMon. Sie soll mit SYSTEM-Rechten laufen. Ersatzweise dient ein Startup-Skript. Hintergrundskripte versuchen etwa alle 60 Sekunden, den Tunnel neu aufzubauen.

Stufe 4 ist der Beacon, eine Meldung an die Angreifenden. Laut OX Security gehen Hostdaten und der Status der Backdoor per HTTP POST an 134[.]209[.]82[.]225 auf Port 8099. StepSecurity merkt an, dass dies über unverschlüsseltes HTTP läuft. Namen von Variablen mit KEY, TOKEN, SECRET, PASS, AWS oder GCP verraten laut StepSecurity, welche Zugangsdaten auf dem Rechner liegen.

BleepingComputer weist darauf hin, dass das Skript Zugangsdaten nicht direkt stiehlt. Daraus schließt der Bericht, die Angreifenden hätten sich nach dem Zugang über den Tunnel manuell bedienen wollen.

Warum der Fernzugriff über die Backdoor auf den meisten Rechnern scheiterte

Die Backdoor lief laut Cursor auf den meisten Rechnern ins Leere, weil das Aktivieren des lokalen SSH-Dienstes Administratorrechte verlangt, die die Erweiterung dort nicht besitzt.

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellflux_2 pro 1k 16:9PromptAn open padlock hangs from a coiled steel chain on the door of a metal rack in a narrow server corridor. Cold blue light falls across the concrete floor where a lone cable spool sits in the shadows. Photorealistic style image. Mood: cool, uneasy and technical. Avoid: watermark, signature, blurry, low quality, distorted, deformed.

Aufgrund von Fehlern im Schadcode schlägt dieser Schritt laut Cursor fehl. Eine Ausnahme sind höchst ungewöhnliche Fälle, in denen Cursor mit Administratorrechten gestartet wurde. Phorion hält es laut BleepingComputer für wahrscheinlich, dass Programmierfehler den Fernzugriff auf viele Rechner verhinderten.

Unter macOS fragt der Code laut BleepingComputer mit systemsetup -getremotelogin ab, ob die Fernanmeldung läuft. Er tut das ohne erhöhte Rechte. Statt des Status liefert der Befehl einen Fehler wegen fehlender Administratorrechte. Der Code schaltet den Dienst nur ein, wenn die Ausgabe „Off“ enthält. Deshalb überspringt er den Schritt.

Unter Windows will der Code den OpenSSH-Server per PowerShell installieren. Dafür ruft er /bin/sh auf, eine Unix-Shell, die auf normalen Windows-Installationen fehlt. Die Einrichtung scheitert laut BleepingComputer deshalb.

Der Rest der Backdoor lief trotzdem durch. Laut Cursor hat die Erweiterung den Schlüssel der Angreifenden hinzugefügt, Persistenz eingerichtet und Hostdaten gesendet. Der Tunnel bringt laut BleepingComputer keinen Zugang, wenn der SSH-Server nicht ohnehin schon läuft.

Der Server der Angreifenden ist laut Cursor inzwischen vom Netz. Reverse Shell und Übermittlung der Hostdaten funktionieren deshalb nicht mehr.

Deinstallieren reicht nicht: So prüfen und räumen Sie auf

Von der Backdoor betroffen ist laut Cursor, wer Anthropic.claude-code 2.1.312 oder 2.1.313 am 29. Oktober 2026 zwischen 2:27 Uhr PT und 13:35 Uhr PT unter macOS oder Windows über den Cursor-Marktplatz installiert oder aktualisiert hat.

Der schnellste Test sucht den Schlüssel der Angreifenden. Unter macOS genügt laut StepSecurity grep svc-telemetry ~/.ssh/authorized_keys. Unter Windows prüft der PowerShell-Befehl aus Cursors Hinweis zwei Dateien: die authorized_keys im Ordner .ssh des Benutzerprofils und die administrators_authorized_keys unter C:ProgramDatassh. Wird der Schlüssel gefunden, ist der Rechner laut Cursor betroffen.

Deinstallieren allein genügt nicht. Darin stimmen Cursor und OX Security überein. Die Nutzlast legt eigenständige Skripte ab, die die Backdoor ohne die Erweiterung am Laufen halten. Die Reihenfolge nach Cursor und StepSecurity:

1. Schlüssel prüfen und Endpunkt-, Netzwerk- und Installationsdaten nach den Indikatoren durchsuchen.
2. Rechner mit Hinweisen auf Ausführung der Nutzlast oder Installation der Backdoor isolieren.
3. Schlüssel, Persistenz und Tunnelprozesse entfernen: Cursor stellt dafür remediate-macos.sh und remediate-windows.ps1 bereit. Das macOS-Skript läuft als betroffene Benutzerperson, nicht als root. Das Windows-Skript läuft in einer PowerShell mit Administratorrechten. Bleibt etwas zurück, endet es laut Cursor mit einem Exit-Status ungleich null.
4. Erweiterung neu installieren: StepSecurity nennt 2.1.314 oder neuer.
5. Zugangsdaten von einem vertrauenswürdigen System aus rotieren, laut StepSecurity etwa Tokens für GitHub und GitLab, CI/CD-Tokens, Cloud-Schlüssel, SSH-Schlüssel und Paketregister-Tokens.

Cursor warnt, dass die begrenzte Erfassung von Umgebungsvariablen einen späteren Zugriff auf Zugangsdaten über die Backdoor nicht ausschließt. Lief der Tunnel nachweislich, ist ein Neuaufsetzen des Rechners laut StepSecurity sicherer als Reinigen.

Diese Spuren nennt Cursor für die Suche in Ihren Systemen:

• Netzwerk: Verbindungen zu 134[.]209[.]82[.]225 auf TCP-Port 22 und Port 8099
• macOS: ~/Library/LaunchAgents/com.apple.sysmond.plist, ~/.config/.smt, ~/.config/.smtk und $TMPDIR/.stk_<10 hex>
• Windows: geplante Aufgabe SysMon, Startup-Skript sysmon.cmd sowie smt.cmd, smtk und .stk_<10 hex> im Benutzerprofil und im Temp-Ordner

Marktplatz neu gebaut, Schlüssel getauscht: Was noch offen ist

Cursor hat die Version mit der Backdoor laut eigenem Hinweis sofort nach der Erkennung entfernt. Die weitere Verteilung blockierte das Unternehmen ebenfalls. Aus größter Vorsicht schaltete es den Marktplatz danach ganz ab. Es ließ die Zugriffe prüfen und fand keine weiteren manipulierten Erweiterungen. Anschließend rotierte es seine Schlüssel, baute den Marktplatz neu und stellte ihn wieder online.

Den Server der Angreifenden nahm Cursor gemeinsam mit dem Hosting-Anbieter vom Netz. StepSecurity hat nach dem Vorfall nachgeprüft, dass der Marktplatz von Cursor eine saubere 2.1.312 ausliefert. Open-VSX kennt laut StepSecurity keine 2.1.313. Der Marktplatz von Microsoft antwortet für diese Version mit 404.

Offen ist laut BleepingComputer, wie die Angreifenden die Erweiterung mit der Backdoor unter Anthropics Namen im Marktplatz von Cursor veröffentlichen konnten. Ebenso ungeklärt ist dort, ob Systeme von Cursor oder Anthropic kompromittiert wurden.

OX Security hält fest, dass auf Opferseite nichts Verdächtiges angeklickt und keine Schwachstelle ausgenutzt werden musste. Eine vergiftete Aktualisierung einer vertrauten Erweiterung bedeutet laut OX Security Codeausführung auf dem Entwicklungsrechner. Warum KI-Code-Editoren zur neuen Angriffsfläche werden, beschreibt der Beitrag über Google Antigravity und den unsichtbaren Desktop.

Offen bleibt der Weg in den Marktplatz. BleepingComputer hat laut Bericht vom 30. Oktober bei Anthropic und Cursor angefragt und will den Artikel bei einer Antwort ergänzen. Rückfragen zum Vorfall beantwortet Cursor unter security@cursor.com.