Der auf künstlicher Intelligenz basierende Code-Editor Cursor war mit einem Sicherheitsvorfall konfrontiert, bei dem eine bösartig modifizierte Version der beliebten Claude Code-Erweiterung von Anthropic über den Cursor-Erweiterungsstore für etwa 11 Stunden im Monat Oktober verbreitet wurde. Dies führte dazu, dass bis zu 5.000 Entwickler Schadsoftware ausgesetzt waren, die darauf abzielte, dauerhafte Hintertüren für die SSH-Verbindung zu installieren.
Technische Untersuchungen von Sicherheitsbehörden ergaben, dass die kompromittierte Erweiterung die Versionsnummer 2.1.313 trug und zwischen 2:27 Uhr morgens und 1:35 Uhr nachmittags (PST) veröffentlicht Angreifer bösartigen JavaScript-Code am Anfang der Datei extension.js der Erweiterung ein, während sie den Originalcode intakt ließen, um ein anscheinend normales Funktionieren zu gewährleisten. Der bösartige Code beginnt sofort nach dem Laden der Erweiterung ohne direkte Benutzerinteraktion zu arbeiten.
Angriffsmechanismus und anvisierte Daten
Nach der Installation der bösartigen Erweiterung auf den Systemen der Opfer führt diese eine Reihe schädlicher Operationen aus, darunter das Sammeln detaillierter System- und Benutzerinformationen wie Git-E-Mail-Adresse und öffentliche IP-Adresse. Sie fügt außerdem einen bösartigen SSH-Schlüssel unter der Kontrolle der Angreifer hinzu und versucht, den Zugriff über das Protokoll zu aktivieren, um einen Reverse-Tunnel einzurichten, sowie die Betriebskontinuität durch Systemtools wie LaunchAgent unter macOS oder geplante Aufgaben und Startpunkte unter Windows sicherzustellen.
Die Erweiterung sendete die Aufklärungsdaten und den Status der Hintertür an einen von Angreifern kontrollierten Server mit der IP-Adresse 134.209.82.225. Trotz der Schwere des Angriffs entdeckten Forscher Programmierfehler in der Verbindungsaufbau-Routine, die die Angreifer daran hinderten, auf vielen betroffenen Systemen einen Fernzugriff zu erlangen, da der SSH-Dienst auf Geräten, auf denen er nicht zuvor aktiviert war, nicht aktiviert werden konnte.
Korrekturmaßnahmen und Reaktion der Plattform
Nach der Entdeckung der Schwachstelle entfernte die Cursor-Plattform die bösartige Erweiterung umgehend und setzte den Erweiterungsstore vorübergehend aus, um umfassende Audits aller Erweiterungen durchzuführen und Zugriffsschlüssel zu rotieren. Zudem arbeitete das Unternehmen mit dem Hosting-Anbieter zusammen, um die Verbindung zum Angreiferserver zu trennen. Das Unternehmen bestätigte durch interne Untersuchungen, dass keine anderen Versionen oder offiziellen Vertriebskanäle betroffen waren.
Was bedeutet das für die Nutzer?
Entwickler, die das Paket während des Expositionsfensters heruntergeladen haben, wird empfohlen, ihre Systeme auf einen verdächtigen SSH-Schlüssel namens svc-telemetry zu überprüfen und dringende Schritte zu unternehmen. Dazu gehören die Isolierung der betroffenen Geräte, das Rotieren von Secrets und Zugriffskonten, das Widerrufen aktiver Sitzungen und die vollständige Wiederherstellung der Arbeitsumgebung aus sicheren und zuverlässigen Backups, um sicherzustellen, dass das System frei von jeglichen Schadüberbleibseln ist.