Nutzer des KI-gestützten Code-Editors Cursor wurden Opfer eines Versuchs, die Software-Lieferketten anzugreifen. Dabei wurden bösartige Versionen der Erweiterung Claude Code von Anthropic in den Store des Editors eingeschleust, wo sie etwa elf Stunden lang verblieben, bevor sie entdeckt und gelöscht wurden.
Technischen Daten zufolge betraf der Vorfall die Versionen 2.1.312 und 2.1.313 der Erweiterung mit der Kennung anthropic.claude-code. Der Sicherheitsforscher Kevin Beaumont schätzte, dass die Schadsoftware auf etwa 5.000 Systemen von Entwicklern unter macOS und Windows verteilt wurde, bevor sie entfernt wurde.
Angriffsvektor und Spionageversuche
Die Angreifer nutzten JavaScript-Code, der automatisch ausgeführt wurde, sobald die Erweiterungspakete in den Editor geladen wurden. Die erste Phase des Angriffs konzentrierte sich auf die Aufklärung der Programmierumgebung durch das Sammeln sensibler Informationen über das Hostsystem, darunter:
- Gerätename (Hostname), Benutzername, Betriebssystemtyp und dessen Architektur.
- Pfad des aktuellen Arbeitsverzeichnisses (Working Directory).
- Die global in der Versionsverwaltungssoftware Git registrierte E-Mail-Adresse.
Analysen, einschließlich der von Microsoft beobachteten, zeigten, dass der Code anschließend versuchte, einen SSH-Schlüssel zu installieren, einen lokalen SSH-Server auf dem Gerät des Opfers zu aktivieren und einen Reverse-SSH-Tunnel einzurichten, der es den Angreifern ermöglichen sollte, Firewalls zu umgehen. Zudem wurden Autostart-Dateien platziert, um sicherzustellen, dass der Angriff auch nach einem Neustart des Systems fortbesteht.
Vollständiges Fehlschlagen des Einbruchs und Gegenmaßnahmen
Die Cursor-Verwaltung bestätigte, dass der Versuch der Angreifer, die Systeme über einen SSH-Tunnel zu kontrollieren, in den meisten Fällen nicht vollständig erfolgreich war. Die Aktivierung des lokalen SSH-Dienstes erfordert Administrator- bzw. Root-Privilegien, über die die Erweiterung auf den meisten macOS- und Windows-Geräten standardmäßig nicht verfügt, wodurch der Schritt des Remote-Logins für die Angreifer verhindert wurde.
Anthropic erklärte durch ihren Ingenieur Felix Rieseberg, dass die gefälschten Kopien weder vom Unternehmen entwickelt noch veröffentlicht wurden und auch nicht in anderen offiziellen Stores wie dem Visual Studio Marketplace, Open VSX oder dem NPM-Register angeboten wurden. Um jegliche Überschneidungen bei den Versionsnummern zu vermeiden, hat Anthropic seine offizielle Versionsnummer direkt auf 2.1.314 erhöht.
Eindämmungsschritte und Handlungsanweisungen für Entwickler
Die Plattform Cursor reagierte umgehend, indem sie die beiden verdächtigen Erweiterungen entfernte, den Store zur Überprüfung temporär offline nahm, sämtliche Sicherheitsschlüssel rotierte und die Store-Umgebung vor der Wiedereröffnung neu aufbaute. Parallel dazu wurde mit dem Cloud-Hosting-Anbieter koordiniert, um den vom Angreifer genutzten Steuerungsserver abzuschalten.
Das Unternehmen betonte, dass die bloße Deinstallation der Erweiterung aus dem Editor möglicherweise nicht ausreicht, um ein infiziertes System zu bereinigen, da die Schadlast eigenständige Skripte zur Aufrechterhaltung der Präsenz im System erstellt. Cursor stellte ein Überprüfungsskript sowie Indikatoren für eine Kompromittierung (IoCs) bereit. Es wird empfohlen, verdächtige Geräte zu isolieren, unautorisierte SSH-Schlüssel zu löschen, aktive Tunnelpfade zu beenden und zu prüfen, ob eine vollständige Systemneuinstallation erforderlich ist, um Spuren der Schadsoftware restlos zu beseitigen.