Die Versionen 2.1.312 und 2.1.313 der offiziellen Claude-Code-Erweiterung für Visual Studio Code, heruntergeladen aus dem Cursor Marketplace unter macOS und Windows, enthielten Code, der bereits vor der eigentlichen Aktivierung der Erweiterung ausgeführt wurde. Der Sicherheitsanbieter Phorion veröffentlichte am 30. Oktober einen ausführlichen Bericht, der am Folgetag nach Bestätigung durch Cursor aktualisiert wurde. Cursor entfernte beide Versionen aus seinem Marketplace.
Code, der vor der Aktivierung lief
Laut Phorion enthielt die Datei extension.js einen eingeschleusten Prefix, der beim Laden durch Node ausgeführt wurde, noch vor dem eigentlich von der VS-Code-Erweiterungs-API vorgesehenen activate-Callback. Über die Installation des manipulierten Pakets hinaus war keine weitere Aktion des Opfers nötig.
Eine vierstufige Kette
Der Bericht beschreibt eine Kompromittierung, die auf Dauerhaftigkeit über einen einfachen Neustart hinaus ausgelegt war.
| Stufe | Aktion | Technisches Detail |
|---|---|---|
| 1 | Fernzugriff | Ein Ed25519-Schlüssel (Kommentar svc-telemetry) wird an ~/.ssh/authorized_keys angehängt, zusammen mit einem Versuch, SSH zu aktivieren |
| 2 | Ausgehender Tunnel | Umgekehrte SSH-Verbindung zu 134.209.82.225 mit eingebettetem privatem Schlüssel, Option -R *:0:localhost:22 |
| 3 | Persistenz | LaunchAgent com.apple.sysmond unter macOS, Cron-Eintrag @reboot unter Linux, geplanter Task „SysMon“ unter Windows |
| 4 | Aufklärung | Unverschlüsseltes HTTP-Signal an Port 8099 mit Hostname, Benutzer, Betriebssystem, öffentlicher IP und den Namen (nicht den Werten) von Umgebungsvariablen nach Zugangsdaten-Mustern |
Ein Detail begrenzt die Auswirkung unter macOS: Der Befehl systemsetup -getremotelogin liefert selbst bei einem Berechtigungsfehler einen Exit-Code von null zurück, wodurch das Skript getäuscht wird und die tatsächliche Aktivierung der Fernanmeldung auf Rechnern überspringt, auf denen sie noch nicht aktiv war. Der eingeschleuste Schlüssel und die Persistenz werden dennoch installiert.
Das bloße Deinstallieren der Erweiterung entfernt die Hintertür nicht: Schlüssel, Tunnel und Persistenz-Task überdauern die Paketentfernung.
Betroffene Installationen: Claude-Code-Erweiterung für VS Code, Versionen 2.1.312 und 2.1.313, installiert über den Cursor Marketplace unter macOS oder Windows. Der Bericht von Phorion nennt den eigenen Visual Studio Marketplace von Microsoft nicht.
Empfohlene Bereinigung
Phorion beschreibt ein mehrstufiges Bereinigungsverfahren, das erst nach der Trennung des verdächtigen Rechners vom Netz ausgeführt werden sollte:
# Tunnel und verdaechtige ssh/autossh-Prozesse beenden
pkill -f "134.209.82.225"
# macOS: Persistenz entfernen
launchctl unload ~/Library/LaunchAgents/com.apple.sysmond.plist
rm -f ~/Library/LaunchAgents/com.apple.sysmond.plist
rm -f ~/.config/.smt ~/.config/.smtk /tmp/.stk_*
# Eingeschleusten Schluessel entfernen
sed -i '/svc-telemetry/d' ~/.ssh/authorized_keys
# Pruefen, ob die Fernanmeldung ungewollt aktiviert wurde
sudo systemsetup -getremotelogin
Die Rotation aller vom betroffenen Konto aus erreichbaren Zugangsdaten rundet das Verfahren ab. Die SHA-256-Prüfsummen der manipulierten Datei und der eingeschleusten Schlüssel stehen im Originalbericht und erlauben eine gezielte Suche nach Kompromittierungsindikatoren über einen ganzen Gerätepark hinweg.
Eine Lieferkette unter Druck
Der Vorfall reiht sich in eine Serie jüngerer Warnungen zur Vertriebskette von Erweiterungen und Paketen für KI-gestützte Entwicklungswerkzeuge ein. GitHub etwa hatte eine öffentliche Vorschau einer npm-Paket-Firewall gestartet, die verdächtige Abhängigkeiten vor der Installation filtern soll. Die zugrunde liegende Frage bleibt dieselbe: Das standardmäßige Vertrauen in einen Erweiterungs-Marktplatz, ob bei einem etablierten Anbieter oder einem jüngeren Fork wie Cursor, stützt sich auf Veröffentlichungskontrollen, die von Register zu Register weiterhin sehr unterschiedlich ausfallen.
Für Teams, die ihre Entwicklungsrechner mit einer festen Auswahl an Kommandozeilen-Werkzeugen ausstatten, ist der Vorfall eine Erinnerung daran, Installationsquellen einzuschränken und veröffentlichte Prüfsummen vor einem automatischen Update zu kontrollieren.
Was man sich merken sollte
Zwei über den Cursor Marketplace verteilte Versionen der Claude-Code-Erweiterung enthielten eine vollständige Hintertür: entfernten SSH-Zugang, einen Tunnel zu einem Kontrollserver, plattformübergreifende Persistenz und Rechner-Aufklärung. Cursor entfernte die Pakete, doch die Deinstallation allein reicht nicht aus: Das Bereinigungsverfahren und die Rotation offengelegter Zugangsdaten bleiben auf jedem Rechner nötig, auf dem eine der beiden betroffenen Versionen installiert wurde.
Diese Art von Vorfall überrascht im IDE-Erweiterungs-Ökosystem niemanden mehr, verdient aber bei jedem Auftreten ernst genommen zu werden: Anbieter von Code-Assistenz-Erweiterungen sitzen auf Entwicklungsrechnern voller Zugangsdaten, was sie zu bevorzugten Zielen macht. Die Kontrolle veröffentlichter Prüfsummen vor einem Update, auch bei einem vertrauenswürdigen Anbieter, kostet ein paar Minuten und kann eine vollständige Kompromittierung des Rechners verhindern — Simon Janvier.
Zum Weiterlesen: der vollständige Bericht von Phorion mit Kompromittierungsindikatoren und detaillierter Zeitlinie.
