Wie die Angreifer das nicht autorisierte Update einschleusen konnten, ist bislang unklar. Cursor erklärte: „Wir haben einen Sicherheitsvorfall festgestellt, der eine veränderte Claude-Code-VS-Code-Erweiterung betrifft, die über unseren Cursor-IDE-Erweiterungsmarktplatz bezogen wurde, und der höchstens 5.000 Nutzer betrifft." Diese schädliche Version sei nicht von Anthropic entwickelt worden und wirke sich nicht auf andere über cursor[.]com/marketplace bezogene Erweiterungen, auf Grok Bot, Grok oder weitere Produkte aus. Entscheidend ist allerdings, dass das Paket eben nicht als separate gefälschte Erweiterung auftrat, sondern unter der echten Kennung der Anthropic-Erweiterung ausgeliefert wurde.
„Das Paket gibt sich als anthropic.claude-code in Version 2.1.313 aus, aber sein JavaScript-Hauptbundle enthält einen schädlichen Lader aus 66 Zeilen, der vor dem legitimen Erweiterungscode eingefügt wurde", sagte Jenn Gile, Mitgründerin von OpenSourceMalware.
Stand 30. Oktober 2026 ist die schädliche Version entfernt; Anthropic hat die Version 2.1.314 sowohl bei Open VSX als auch im Microsoft VS Code Marketplace veröffentlicht.
Der Schadcode wird nach dem Start von VS Code sowie beim Öffnen der Webview aktiv. Er trägt einen vom Angreifer kontrollierten Schlüssel in die Datei „~/.ssh/authorized_keys" ein; der Schlüssel ist mit der unauffällig wirkenden Bezeichnung „svc-telemetry" versehen. Anschließend versucht er, das Opfersystem unter Windows, Linux und macOS per SSH erreichbar zu machen, baut einen Reverse-Tunnel zu „134.209.82[.]225" auf und richtet plattformspezifische Persistenz ein – als geplante Aufgabe, als Crontab-Eintrag beziehungsweise als LaunchAgent. Aufklärungsdaten über den Host werden unverschlüsselt per HTTP an „134.209.82[.]225:8099/beacon" auf Port 8099 übertragen.
In seiner eigenen Analyse schränkte Cursor ein: „Das Einschalten des lokalen SSH-Dienstes erfordert Administratorrechte, über die die schädliche Erweiterung auf den meisten macOS- und Windows-Hosts nicht verfügt." Auf diesen Systemen schlage der Schritt fehl, und der Angreifer hätte sich nicht über den Tunnel anmelden können. „Die Erweiterung fügt dennoch den SSH-Schlüssel des Angreifers hinzu, richtet Persistenz ein und sendet Host-Details an den Angreifer. Führen Sie die folgenden Bereinigungsschritte in jedem Fall durch."
Erfasst werden unter anderem:
- die öffentliche IP-Adresse über api.ipify[.]org
- Hostname und lokaler Benutzername
- Betriebssystem und CPU-Architektur
- Home-Verzeichnis und aktuelles Arbeitsverzeichnis
- die globale Git-E-Mail-Adresse aus „git config –global user.email"
- die Namen von bis zu 40 Umgebungsvariablen, die KEY, TOKEN, SECRET, PASS, AWS oder GCP enthalten
„Die Werte der Umgebungsvariablen werden nicht direkt in den ersten Beacon aufgenommen", sagte der Sicherheitsforscher Paul McCarty. „Ihre Namen können dennoch verraten, welche Cloud-Anbieter, CI-Systeme und Arten von Zugangsdaten konfiguriert sind. Wichtiger noch: Ein erfolgreicher SSH-Zugang würde es dem Betreiber erlauben, das Konto direkt zu inspizieren."
Weitere Schadmodule wurden nicht beobachtet. Der Reverse-Tunnel eröffnet jedoch einen Weg zum SSH-Dienst des Opfers, über den Befehle abgesetzt oder Dateien übertragen werden könnten. „Es wurde sehr schnell zurückgezogen, aber jeder, dessen Claude-Code-Instanz auf automatische Updates eingestellt ist, könnte die Schadsoftware bezogen haben", sagte Gile.
Nach Angaben von Cursor installierten die betroffenen Nutzer die schädliche Version am 29. Oktober 2026 zwischen etwa 2:27 Uhr und 13:35 Uhr pazifischer Zeit. Das Unternehmen will die Betroffenen direkt kontaktieren. Wer die Erweiterung in diesem Zeitfenster installiert hat, sollte die betroffenen Rechner isolieren, den unautorisierten SSH-Schlüssel samt Persistenzmechanismen entfernen sowie Zugangsdaten und Sitzungen erneuern.
Gut eine Woche zuvor hatte ein unbekannter Angreifer die Release-Binärdateien von fünf bereits veröffentlichten Versionen des offiziellen OVHcloud-CLI („ovh/ovhcloud-cli") durch Schadsoftware zum Abgreifen von Geheimnissen ersetzt. Der Upload erfolgte über das GitHub-Konto eines legitimen OVH-Beitragenden („HassenBF"), das im März 2026 im Rahmen der GlassWorm-Operation übernommen worden war.