Das offizielle Add-on für das KI-Modell Claude von Anthropic war Ziel eines Sicherheitsvorfalls, der zur Einschleusung von Schadsoftware mit einer Hintertür (Backdoor) führte. Dies gefährdete die Geräte von bis zu 5.000 Entwicklern über einen Zeitraum von fast 12 Stunden, wie am Freitag aus mehreren Berichten hervorging.
Die kompromittierte Version trug die Nummer 2.1.313 und wurde über das offizielle Konto von Anthropic im Extension Store der KI-gestützten Entwicklungsumgebung Cursor signiert und verteilt. Sie zielte auf Entwickler ab, bei denen das Update automatisch oder manuell heruntergeladen wurde. Das Sicherheitsunternehmen Phorian und der unabhängige Forscher Kevin Beaumont erklärten, dass das bösartige Update die vorherige Version vorübergehend ersetzte, bevor Anthropic wenige Stunden nach dem Auftauchen der manipulierten Version die sichere Version 2.1.314 bereitstellte.
Was ist praktisch passiert und welche Fähigkeiten hatte die Hintertür?
Die Cursor-Plattform bestätigte, dass die Schadsoftware versuchte, eine dauerhafte SSH-Hintertür zu installieren, indem sie einen vom Angreifer kontrollierten SSH-Schlüssel hinzufügte, den lokalen SSH-Dienst aktivierte und einen umgekehrten (Reverse) SSH-Tunnel öffnete. Aufgrund der Berechtigungen, über die Add-ons der Entwicklungsumgebung verfügen, hatte die kompromittierte Version Zugriff auf lokale Dateien, Quellcode und Entwicklertools.
Zu den in dem bösartigen Code beobachteten technischen Fähigkeiten gehörten:
- Das Sammeln von Host- und Benutzerinformationen wie Hostname, Betriebssystem, Stammverzeichnis (Root-Pfad), Umgebungsvariablen, Arbeitsordner und öffentliche IP-Adresse.
- Der Versuch, einen SSH-Schlüssel hinzuzufügen und einen Reverse-Tunnel zu öffnen, der alle 60 Sekunden über einen bestimmten Port mit externen Servern kommuniziert.
- Das Auslesen der Namen lokaler Umgebungsvariablen, wodurch Angreifer Cloud-Zugangsdaten und API-Zugriffstoken auf dem kompromittierten Gerät ermitteln können.
Obwohl Programmierfehler im bösartigen Code auf Windows- und Mac-Systemen die Funktion der Hintertür in einigen Fällen behinderten, stuften Sicherheitsbehörden die Bedrohung als gravierend ein, da die Schadsoftware in der Lage war, Erkennungsdaten zu sammeln und an den Angreifer zu senden.
Reaktion und Korrekturmaßnahmen
Das Cursor-Team arbeitete mit dem Cloud-Anbieter des Servers zusammen, der für die Reverse-Verbindung genutzt wurde, um den Zugriff auf die infizierten Geräte zu trennen. Darüber hinaus entfernte das Unternehmen die kompromittierte Version und schloss den VS Code Extension Store vorübergehend, um Zugriffsschlüssel zu rotieren und die Sicherheitsvorgaben zu überprüfen. Anthropic hingegen hat bisher keine direkte öffentliche Warnung an Kunden zu dem Vorfall herausgegeben, und keine der beiden Unternehmen hat eine offizielle Erklärung dafür abgegeben, wie es Angreifern gelang, die Kontrolle über das offizielle Konto zu erlangen.
Was bedeutet das für Entwickler und Nutzer?
Jeder Entwickler, der das Anthropic-Add-on über Cursor zwischen dem Morgen und dem Abend des vergangenen Donnerstags installiert oder aktualisiert hat, gilt als potenziell von dem Vorfall betroffen. Sicherheitsbehörden empfehlen, die veröffentlichten Indikatoren für eine Kompromittierung zu überprüfen und die Sicherheit von Schlüsseln sowie Cloud-Zugriffstoken auf den betroffenen Geräten zu überprüfen.