Die Achillesferse im Marketplace

Was passiert, wenn nicht die KI angegriffen wird, sondern der Ort, an dem Entwickler ihre KI-Werkzeuge herunterladen? Und warum trifft es dabei ausgerechnet diejenigen, die der KI den tiefsten Zugriff auf ihren Rechner erlauben? Jetzt gab es dafür ein Lehrstück – mit glimpflichem Ausgang, aber ohne Grund zur Entwarnung.

Am 29. Oktober, von 2:27 bis 13:35 Uhr Pacific Time, bei uns also von 10:27 bis 21:35 Uhr, stand im Extension-Marketplace von Cursor eine manipulierte Version der Claude-Code-Erweiterung zum Download bereit (anthropic.claude-code, Versionen 2.1.312 und 2.1.313, für macOS und Windows). Das waren gut elf Stunden. Cursor ging zunächst von höchstens 5.000 betroffenen Nutzern aus.

Wichtige Einordnung: Es war kein Einbruch bei Anthropic. Felix Rieseberg von Anthropic hat bestätigt, dass dort weder Systeme noch Laptops kompromittiert wurden. Vielmehr hat ein Angreifer mit Zugriff auf Cursors Marketplace darin eine manipulierte Kopie veröffentlicht. Die offiziellen Kanäle waren nicht betroffen, laut Microsoft auch nicht der Visual Studio Marketplace und nicht das npm-Paket. Die Version 2.1.313 hat Anthropic nie veröffentlicht; offiziell ging es von 2.1.312 direkt auf 2.1.314.

Anfangs wurde auch Open VSX als Ausgangspunkt genannt. StepSecurity hat das inzwischen korrigiert: Die bei Open VSX liegende 2.1.312 ist sauber.

Wie der Schadcode vorging

Der Schadcode wurde einfach vorangestellt: Ein knapp 7 KB großer Loader sitzt vor dem ansonsten unveränderten Bundle. Er läuft, sobald die Erweiterung geladen wird. Ein Gespräch mit Claude ist dafür nicht nötig. Der Loader versuchte nacheinander:

• Aufklärung: Er sammelte Hostname, Benutzername, Betriebssystem, Git-E-Mail und öffentliche IP. Dazu kamen die Namen (nicht die Werte) von bis zu 40 Umgebungsvariablen, die etwa KEY, TOKEN oder SECRET enthalten.
• Zugang: Er trug einen SSH-Schlüssel des Angreifers (Kommentar svc-telemetry) in die authorized_keys ein und versuchte, den SSH-Dienst zu aktivieren.
• Tunnel: Er baute einen Reverse-SSH-Tunnel zum Server des Angreifers auf und startete ihn etwa alle 60 Sekunden neu.
• Persistenz: Unter macOS nutzte er einen LaunchAgent mit dem Namen com.apple.sysmond, unter Windows eine geplante Aufgabe namens SysMon. Beide Namen sind bewusst nach Systemkomponenten gewählt.

Fehler fing der Code still ab, die Erweiterung funktionierte weiter normal. Einen zweiten Schadcode, der nachgeladen wird, fanden die Analysten laut StepSecurity nicht.

Auf den meisten Systemen scheiterte der Tunnel zwar. Das Aktivieren des SSH-Dienstes braucht Administratorrechte, und der Code enthielt Fehler. Cursor hat zudem den Angreifer-Server zusammen mit dem Hoster abschalten lassen.

Das ist aber kein Freibrief. Der Angreifer-Schlüssel, die Persistenz-Skripte und die Meldung der Host-Daten funktionierten laut Cursor auch ohne Tunnel. Ein bloßes Deinstallieren der Erweiterung reicht nicht, denn die Skripte laufen eigenständig weiter.

Die Achillesferse: der Ort, an dem man installiert

Ein KI-Coding-Werkzeug hat Zugriff auf Dateien, Shell, Zugangs­daten und oft auch auf SSH-Schlüssel. Wer dieses Werkzeug kompromittieren will, muss das Modell nicht überlisten. Es genügt, den Weg zu manipulieren, auf dem das Werkzeug auf den Rechner kommt. Eine Erweiterung ist Code mit den Rechten des Nutzers.

Bei diesem Vorfall lag das Problem nicht in einer Namens­verwechslung, wie es oft versucht wird. Die Kennung war die echte, nur der Inhalt war es nicht mehr. Ob kleinere Marketplace-Betreiber strukturell anfälliger sind als ein großer Konzern? Schwer zu sagen, meiner Meinung nach. Forks wie Cursor betreiben eigene Registries, mit entsprechend eigenen Sicherheitsprozessen. Und auch ob der Microsoft-Marketplace sicherer ist, lässt sich aus diesem Fall nicht ableiten – er war schlicht nicht betroffen.

Was Sie dagegen tun können

1. Versionsnummern und Prüfsummen abgleichen. Gibt es die Version auf den offiziellen Kanälen des Herstellers? Die 2.1.313 gab es dort nie. Und bei der 2.1.312 half nur der Blick auf Prüfsumme oder Dateigröße, denn die manipulierte Datei war rund 7 KB größer. Cursor hat außerdem die Hashes der manipulierten Dateien veröffentlicht.
2. Automatische Updates bremsen. Betroffen waren Neuinstallationen und Updates im Elf-Stunden-Fenster. Wer Updates einige Tage verzögert, lässt anderen den Vortritt als Testpersonen. Viele Tools wie npm, pnpm, Yarn, Bun, Deno, Renovate, Dependabot bieten einen solchen Dependency Cooldown mittlerweile übrigens auch als eigene Funktionalität an, teilweise sogar schon als Default (pnpm, Yarn). Falls verfügbar, sollte man ihn aktivieren, um wertvolle Zeit zu gewinnen, in der der Schadcode vielleicht noch rechtzeitig zurückgezogen werden kann.
3. Rechte klein halten. Kein passwortloses sudo, keine Entwicklungswerkzeuge mit Administratorrechten, SSH-Dienst nur bei Bedarf aktiv. Genau das hat hier den Schaden begrenzt.
4. Inventar führen. Welche Erweiterungen sind in welcher Version und aus welcher Quelle auf den Entwicklerrechnern installiert?
5. Auf Spuren achten. Unbekannte Einträge in ~/.ssh/authorized_keys, neue LaunchAgents oder geplante Aufgaben, ausgehende SSH-Verbindungen mit Reverse-Tunnel (ssh -R).
6. Sicherheitsmeldungen verfolgen. Erscheint ein Hinweis, die Erweiterung sei manipuliert, lohnt der Blick in die Mitteilungen von Hersteller und Marketplace-Betreiber, bevor man weiterarbeitet.

Falls Sie betroffen sein könnten

Cursor beschreibt in seiner Mitteilung, wie Sie den Schlüssel svc-telemetry finden, und stellt Bereinigungsskripte für macOS und Windows bereit. Danach sollten Sie Zugangsdaten und Sitzungen von einem vertrauenswürdigen System aus erneuern.

Fazit

Über Jahrzehnte wurden wir trainiert, verfügbare Updates immer sofort einzuspielen. Inzwischen, muss ich sagen, ist aber ein differenzierter Umgang empfehlenswerter. Ist der Dienst oder die Software von außen überhaupt erreichbar? Falls ja, unbedingt. Aber falls nein, dann lohnt sich ein Update mittlerweile meiner Ansicht nach nur, wenn es um Bugfixes oder entscheidende Performance-Verbesserung geht. Ansonsten, wenn die Software tut wie sie soll, und die angebotene Leistung für die angestrebten Zwecke ausreichend ist, sollte man sich neuerdings jedes Update gut überlegen. Die Risiken sind mit den neuen Angriffstechniken sehr groß geworden. Am laufenden Band werden Supply Chains angegriffen. Auf die Mail-Attacken fallen immer weniger herein – was aber huckepack mit einem Update hereinreitet, erfreut sich immer noch besten Vertrauens. Und genau das wollen die Black Hats nun ausnutzen.

Quellen: Cursor Security Notice · Microsoft Security Blog · StepSecurity