Die Kurzfassung
Eine manipulierte Claude-Code-Erweiterung wurde am 29. Oktober 2026 unter der offiziellen Erweiterungs-ID von Anthropic über den VS-Code-Erweiterungsmarktplatz von Cursor verteilt. Unter macOS und Windows fügte sie einen SSH-Schlüssel des Angreifers hinzu, richtete Persistenz ein und versuchte, Reverse-Tunnel aufzubauen. Cursor schätzt, dass bis zu 5.000 Nutzer sie installiert haben. VS Code Marketplace, Open VSX und die Claude Code CLI waren nicht betroffen. Wenn Ihre Entwickler Cursor nutzen, prüfen Sie deren Rechner jetzt.
Was ist im Erweiterungsmarktplatz von Cursor passiert?
Cursor, der auf VS Code basierende KI-first-Code-Editor, betreibt einen eigenen Marktplatz für VS-Code-kompatible Erweiterungen. Am 29. Oktober gab das Unternehmen bekannt, dass dort eine „böswillig veränderte Version“ der Claude-Code-Erweiterung – des IDE-Begleiters zum Coding-Agenten von Anthropic – über weite Teile des US-Arbeitsvormittags verfügbar war. Die Angreifer veröffentlichten kein Imitat. Sie lieferten die Version unter der echten ID anthropic.claude-code aus, sodass Editoren mit automatischen Updates sie einfach übernahmen.
Nach Angaben von Cursor wurde die Version sofort nach der Entdeckung entfernt, der Marktplatz vom Netz genommen und neu aufgebaut, die eigenen Schlüssel wurden rotiert, und gemeinsam mit dem Hosting-Anbieter wurde der Server des Angreifers abgeschaltet. Weitere kompromittierte Erweiterungen fand Cursor nicht; alle Nutzer, die die betroffene Version heruntergeladen haben, werden kontaktiert. Anthropic hat die schädliche Version nicht entwickelt und eine saubere Version 2.1.314 in Open VSX und im Visual Studio Marketplace veröffentlicht. Wie der Angreifer eine Version unter dem Namen von Anthropic in den Cursor-Marktplatz bringen konnte, hat bislang keines der beiden Unternehmen erklärt.
Was hat die schädliche Erweiterung getan?
Laut Analysen von OX Security und BleepingComputer setzten die Angreifer einen 66-zeiligen Loader vor den legitimen Code der Erweiterung. Beim Laden der Erweiterung hat er:
- Hostname, Benutzername, Betriebssystem, Git-Identität und öffentliche IP-Adresse gesammelt;
- einen vom Angreifer kontrollierten ed25519-Schlüssel mit der Bezeichnung
svc-telemetryan~/.ssh/authorized_keysangehängt; - Persistenz eingerichtet: unter macOS einen LaunchAgent unter
~/Library/LaunchAgents/com.apple.sysmond.plist, unter Windows eine geplante AufgabeSysMonmit einem Startskriptsysmon.cmdals Fallback; - etwa einmal pro Minute einen Reverse-SSH-Tunnel zu 134.209.82.225 versucht und Hostdaten an einen Beacon-Endpunkt auf Port 8099 gesendet.
BleepingComputer weist darauf hin, dass Programmierfehler den Schaden begrenzten: Die Schadsoftware konnte SSH nicht aktivieren, wo der Dienst nicht bereits lief. Viele Rechner haben daher vermutlich Persistenz, aber keinen funktionierenden Fernzugriff erhalten. Das ist Glück, keine Schutzmaßnahme. Auf jedem Entwicklerrechner mit aktiviertem SSH hätte der Angreifer eine Shell mit denselben Rechten wie der Engineer gehabt.
Warum sind IDE-Erweiterungen ein so attraktives Ziel?
Eine Editor-Erweiterung läuft im Kontext des Entwicklers – mit Zugriff auf Quellcode, .env-Dateien, Sitzungen von Cloud-CLIs, SSH-Schlüssel und Tokens für Paket-Registries. Die meisten Teams lassen Erweiterungen still im Hintergrund aktualisieren, und kaum ein Endpoint-Tool stuft ein signiertes Update eines bekannten Herausgebers als verdächtig ein. Der Vorfall fällt zudem in einen schwierigen Monat für KI-Entwicklerwerkzeuge: Gehostete Plattformen wie Railway und Northflank haben Sicherheitsvorfälle gemeldet, bei denen Kundengeheimnisse offengelegt wurden, und Angreifer haben es erkennbar auf die Zugangsdaten abgesehen, die KI-lastige Workflows auf Entwicklerrechnern hinterlassen.
| Kanal | Schädliche Version ausgeliefert? | Maßnahme |
|---|---|---|
| VS-Code-Erweiterungsmarktplatz von Cursor | Ja, 29. Okt., ca. 2:27–13:35 Uhr PT | Alle Cursor-Nutzer prüfen, die an diesem Tag aktualisiert haben |
| Microsoft Visual Studio Marketplace | Nein, laut Cursor und Forschern | Routinemäßig auf 2.1.314 aktualisieren |
| Open VSX | Nein, laut Cursor und Forschern | Routinemäßig auf 2.1.314 aktualisieren |
| Claude Code CLI (npm) | Nein | Keine Maßnahme wegen des Vorfalls nötig |
Was das für Softwareteams im DACH-Raum bedeutet
Erstens: Die IDE ist Teil Ihrer Software-Lieferkette. Teams, die npm und Container-Images streng absichern, lassen oft jede beliebige Erweiterung aus jedem Marktplatz auf Laptops automatisch aktualisieren, auf denen Produktionszugangsdaten liegen. Führen Sie eine Allowlist freigegebener Erweiterungen und Herausgeber, und erwägen Sie für Tools mit weitreichenden Rechten wie KI-Coding-Agenten, Versionen zu fixieren oder Updates um ein bis zwei Tage zu verzögern – so werden Vorfälle wie dieser erkannt, bevor sie bei Ihnen ankommen.
Zweitens: Halten Sie langlebige Geheimnisse von Entwicklerrechnern fern. Eine Hintertür auf einem Laptop ist nur so wertvoll wie das, was der Laptop erreichen kann. Kurzlebige Cloud-Sitzungen über SSO, zur Laufzeit aus einem Vault geladene Secrets und Produktionszugriff, der einen separaten Schritt erfordert, verkleinern den Schadensradius. Das ist grundlegende Cloud- und DevOps-Hygiene, und KI-Tools, die breiten lokalen Zugriff verlangen, machen sie dringlicher, nicht weniger dringlich.
Drittens: Überwachen Sie Endgeräte auf Persistenz, nicht nur auf Malware-Signaturen. Neue Einträge in authorized_keys, neue Launch Agents und neue geplante Aufgaben lassen sich günstig überwachen und hätten genau diese Schadfunktion direkt erkannt. Hat ein Entwickler-Laptop Zugriff auf Kundendaten, kann daraus ein meldepflichtiger Datenschutzvorfall werden; Zulieferer im Anwendungsbereich von NIS-2 sollten ihn als Lieferkettenereignis dokumentieren.
Was Sie diese Woche tun sollten
- Betroffene Nutzer ermitteln. Erfassen Sie alle, die am 29. Oktober Cursor mit der Claude-Code-Erweiterung genutzt haben, und prüfen Sie, welche Version installiert war.
- Nach Indikatoren suchen. Suchen Sie anhand der IOC-Listen von Cursor und OX Security nach dem Schlüssel
svc-telemetry, nachcom.apple.sysmond.plist, der AufgabeSysMon,sysmon.cmdund nach Verbindungen zu 134.209.82.225. - Isolieren und bereinigen. Isolieren Sie betroffene Systeme, entfernen Sie Schlüssel und Persistenz, beenden Sie Tunnelprozesse – oder setzen Sie das System aus einem bekannt sauberen Image neu auf.
- Zugangsdaten rotieren. Rotieren Sie SSH-Schlüssel, Cloud-Sitzungen, Git- und Registry-Tokens sowie KI-API-Schlüssel, die von betroffenen Rechnern aus erreichbar sind, und machen Sie aktive Sitzungen ungültig.
- Sauber aktualisieren. Wechseln Sie auf die Claude-Code-Erweiterung 2.1.314 oder neuer.
- Erweiterungsrichtlinie festlegen. Geben Sie Herausgeber frei, steuern Sie automatische Updates für Tools mit weitreichenden Rechten und alarmieren Sie bei neuen SSH-Schlüsseln und Autostart-Einträgen.
Häufig gestellte Fragen
Was ist mit der Claude-Code-Erweiterung in Cursor passiert?
Am 29. Oktober 2026 lieferte der VS-Code-Erweiterungsmarktplatz von Cursor zwischen etwa 2:27 und 13:35 Uhr Pacific Time (PT) eine manipulierte Version der Claude-Code-Erweiterung von Anthropic unter der offiziellen ID anthropic.claude-code aus. Der Hinweis von Cursor nennt die Versionen 2.1.312 und 2.1.313 für macOS und Windows. Der manipulierte Code fügte einen SSH-Schlüssel des Angreifers hinzu, richtete Persistenz ein und versuchte, Reverse-SSH-Tunnel aufzubauen. Cursor schätzt, dass bis zu 5.000 Nutzer betroffen waren.
Sind VS Code, Open VSX oder die Claude Code CLI betroffen?
Laut Cursor und den Forschern, die das Paket analysiert haben, nein. Die schädliche Version wurde ausschließlich im eigenen Erweiterungsmarktplatz von Cursor gefunden, nicht im Visual Studio Marketplace von Microsoft, nicht in Open VSX und nicht im npm-Paket der Claude Code CLI. Anthropic hat die schädliche Version nicht entwickelt und inzwischen eine saubere Version 2.1.314 veröffentlicht.
Wie prüfe ich, ob mein Rechner kompromittiert wurde?
Suchen Sie nach einem öffentlichen SSH-Schlüssel mit der Bezeichnung svc-telemetry in ~/.ssh/authorized_keys, unter macOS nach einem LaunchAgent namens com.apple.sysmond.plist, unter Windows nach einer geplanten Aufgabe SysMon und einem Startskript sysmon.cmd. Durchsuchen Sie außerdem die Netzwerkprotokolle nach Verbindungen zu 134.209.82.225. Cursor und OX Security haben vollständige Indikatorenlisten veröffentlicht.
Reicht es, die Erweiterung zu deinstallieren?
Nein. Die Schadsoftware richtet Persistenz ein, die das Entfernen der Erweiterung überdauert. Entfernen Sie den unbefugten SSH-Schlüssel, löschen Sie die Persistenzdateien und geplanten Aufgaben, beenden Sie Tunnelprozesse, rotieren Sie alle vom Rechner aus erreichbaren Zugangsdaten und erwägen Sie, das System aus einem bekannt sauberen Image neu aufzusetzen.
Wie senken Teams das Risiko kompromittierter IDE-Erweiterungen?
Führen Sie eine Allowlist freigegebener Erweiterungen und Herausgeber, fixieren oder verzögern Sie automatische Updates für Tools mit weitreichenden Rechten, halten Sie langlebige Cloud- und Produktionszugangsdaten von Entwickler-Laptops fern und überwachen Sie Endgeräte auf neue SSH-Schlüssel, Launch Agents und geplante Aufgaben. Behandeln Sie den IDE-Marktplatz als Teil Ihrer Software-Lieferkette.
Quellen
Cursor — Security notice: malicious version of Anthropic.claude-code identified in the Cursor VS Code Extension Marketplace (October 29, 2026, updated October 30)
BleepingComputer — Malicious Claude Code extension on Cursor planted SSH backdoors (October 30, 2026)
OX Security — Compromised Claude Code Extension (2.1.313) in Cursor Marketplace Plants Attacker SSH Key and Persistence (October 30, 2026)
Sophos — Malicious Claude Code extension distributed through Cursor marketplace