Cursor meldete Malware in Claude-Code-Erweiterung für Windows und macOS

Cursor meldete am 29. Oktober 2026 manipulierte Versionen der Claude-Code-Erweiterung in seinem VS-Code-Marktplatz: 2.1.312 und 2.1.313 für Windows und macOS. Das eingeschleuste Programm sollte unter anderem einen SSH-Zugang einrichten und Informationen über den Rechner übertragen. Cursor schätzte, dass bis zu 5.000 Nutzer die Erweiterung erhalten haben könnten.

Welche Claude-Code-Versionen waren betroffen?

Betroffen waren laut Cursor die Pakete Anthropic.claude-code in den Versionen 2.1.312 und 2.1.313, die über Cursors eigenen VS-Code-Erweiterungsmarktplatz angeboten wurden. Cursor gab an, dass sie am 29. Oktober zwischen etwa 2.27 Uhr und 13.35 Uhr Pazifikzeit verfügbar waren. Die Schätzung von bis zu 5.000 möglichen Empfängern ist keine Zahl bestätigter Infektionen.

Microsofts Sicherheitsteam erklärte, die manipulierten Pakete seien weder im Microsoft Visual Studio Marketplace noch über das npm-Paket @anthropic-ai/claude-code veröffentlicht oder verteilt worden. Anthropic habe Microsoft bestätigt, dass seine Systeme nicht kompromittiert worden seien und das schädliche Paket nicht von Anthropic stammte.

Was die manipulierte Erweiterung versuchte

Nach der technischen Analyse von Phorion wurde der eingeschleuste Code bereits beim Laden des Erweiterungsmoduls ausgeführt. Dafür musste niemand erst einen Claude-Chat starten. Das Programm versuchte, einen SSH-Schlüssel mit dem Vermerk svc-telemetry einzutragen, den lokalen SSH-Dienst einzuschalten und einen umgekehrten SSH-Tunnel zum Angreifer einzurichten. Zusätzlich sollte es die Verbindung über Neustarts hinweg aufrechterhalten.

Die Erweiterung sollte außerdem Rechner- und Nutzungsdaten erfassen und übermitteln, darunter den Rechner- und Benutzernamen, Betriebssystem, Architektur, Home-Verzeichnis, Arbeitsverzeichnisse, die konfigurierte Git-E-Mail-Adresse und die öffentliche IP-Adresse. Phorion zufolge erfasste der Beacon bis zu 40 passende Namen von Umgebungsvariablen, aber nicht deren Werte.

Was über einen erfolgreichen Fernzugriff bekannt ist

Cursor erklärte, dass das Einschalten des SSH-Dienstes auf den meisten Windows- und macOS-Rechnern scheiterte. Dafür waren Administratorrechte nötig, und der eingeschleuste Code enthielt Fehler. Das belegt keinen erfolgreichen Fernzugriff auf jedes Gerät, dessen Erweiterung betroffen war. Schlüssel, Persistenzdateien und Rechnerdaten konnten dennoch hinterlassen oder übertragen worden sein.

So sollten potenziell betroffene Rechner geprüft werden

Cursor empfiehlt, nach dem Schlüsselvermerk svc-telemetry in den SSH-Dateien authorized_keys zu suchen und zusätzlich Telemetrie zu Endgeräten, Netzwerkverbindungen und installierten Erweiterungen auszuwerten. Unter Windows gehört dazu auch die Datei für Administratoren unter C:\ProgramData\ssh\administrators_authorized_keys. Cursor stellt getrennte Prüf- und Bereinigungsskripte für Windows und macOS bereit.

Ein Rechner mit Hinweisen auf die Ausführung des Schadcodes oder die installierte Hintertür sollte isoliert werden. Anschließend empfiehlt Cursor, den nicht autorisierten Schlüssel, Persistenzmechanismen und laufende Tunnelprozesse zu entfernen. Zugänge und Sitzungen, auf die der Rechner zugreifen konnte, sollten von einem vertrauenswürdigen System aus erneuert werden. Cursor weist darauf hin, dass eine Deinstallation allein möglicherweise nicht genügt, weil eigenständige Persistenzskripte zurückbleiben können.

Wie Cursor auf den Vorfall reagierte

Cursor entfernte die manipulierten Versionen, blockierte ihre weitere Verteilung und nahm den Marktplatz vorsorglich offline. Das Unternehmen erklärte, es habe weitere Erweiterungen geprüft, eigene Schlüssel rotiert, den Marktplatz neu aufgebaut und wiederhergestellt. Cursor zufolge funktionierte auch der Angreifer-Server nicht mehr.