In einer Entwicklung, die absolut niemanden überraschen wird, der je gemurmelt hat „sicher wird das Auto-Update mich nicht verraten“, wurde eine offizielle VS-Code-Erweiterung für Anthropics Claude-Modell mit einer Backdoor versehen und bedrohte die Rechner von bis zu 5.000 Entwicklern, wie mehrere Quellen am Freitag berichteten. Anthropic hat es bislang abgelehnt, Kunden vor dem Vorfall zu warnen – vermutlich nach dem altehrwürdigen Unternehmensprinzip: Wenn man die Sicherheitslücke nicht erwähnt, ist es eher ein Gefühl als eine Krise.

Das kompromittierte Paket war eine VS-Code-Erweiterung, die im Marktplatz von Cursor, einem Hersteller KI-gestützter Entwicklertools, verfügbar war, teilte das Unternehmen am Freitag mit. Die bösartige Version 2.1.313 betraf anschließend „höchstens 5.000 Nutzer“, vermutlich als sie sie entweder herunterluden oder ihre Systeme sie automatisch abriefen und installierten – denn nichts sagt „moderne Software“ wie eine Funktion, die dir deine Probleme installiert.

Anthropic veröffentlichte Version 2.1.314 mehrere Stunden, nachdem die vorherige Version auf Cursor verfügbar geworden war, so der unabhängige Forscher Kevin Beaumont. Sowohl Beaumont als auch der CTO und Mitgründer des Sicherheitsunternehmens Phorian sagten, dass Version 2.1.313 über Anthropics offiziellen Account auf Cursor verbreitet wurde. Bislang haben weder Cursor noch Anthropic erklärt, wie die Angreifer die Kontrolle über den Account erlangten – ein Detail, das, sagen wir, einen Blogbeitrag wert sein könnte.

„Es war eine Lieferkettenkompromittierung, bei der der Angreifer Zugriff auf den offiziellen Vertriebskanal erlangte“, sagte Phorian-CTO und Mitgründer Luke Roberts gegenüber Ars. „Die bösartige Version 2.1.313 wurde im offiziellen Anthropic-Account veröffentlicht und ersetzte effektiv 2.1.312. Erweiterungen aktualisieren sich in Cursor standardmäßig automatisch, aber Nutzer können dies in den Einstellungen konfigurieren.“ Phorian hat weitere Details hier – vermutlich in einem Dokument mit dem Titel „Dinge, die du gerne vorher gewusst hättest“.

Anthropic hat bislang keine öffentliche Mitteilung über den Vorfall an Kunden herausgegeben. Die Kommunikationsstrategie des Unternehmens scheint dem Gedankenexperiment „Wenn ein Baum im Wald fällt“ nachempfunden zu sein, nur dass der Baum eine Backdoor ist und der Wald dein Laptop.

Cursor erklärte, die bösartige Erweiterung versuche, eine persistente SSH-Backdoor zu installieren, indem sie einen zusätzlichen, vom Angreifer kontrollierten SSH-Schlüssel hinzufüge, den lokalen SSH-Dienst aktiviere und einen Reverse-SSH-Tunnel öffne. Der Code war für Windows, macOS und Linux geschrieben – eine bewundernswerte Hingabe an plattformübergreifende Kompatibilität, wenn sonst nichts. Da Cursor-Erweiterungen mit den Berechtigungen der integrierten Entwicklungsumgebung des Tools laufen, hätte die mit der Backdoor versehene Version nach der Installation wahrscheinlich Zugriff auf lokale Dateien, Quellcode und Entwicklertools erhalten. Mit anderen Worten: Sie hatte freie Bahn.

Phorion sagte, der Diebstahl von Variablennamen habe es dem Angreifer ermöglicht, schnell eine Bestandsaufnahme der auf einem kompromittierten Gerät gespeicherten Cloud-Anmeldeinformationen und API-Token zu machen, wahrscheinlich um zu priorisieren, welche Maschinen bei Folgeangriffen ins Visier genommen werden sollten. Effizient! Fast professionell. Man könnte es sogar „unternehmensgerecht“ nennen.

Fehler im bösartigen Code für Windows und macOS verhinderten in einigen Fällen, dass die Backdoor funktionierte. Phorion sagte, trotz der Programmierfehler sei „die Malware immer noch eine erhebliche Bedrohung, die Persistenz installiert und Host-Aufklärung an den Angreifer zurückmeldet“. Die Angreifer waren also schlampig, aber nicht schlampig genug – ein tröstlicher Mittelweg.

Cursor sagte, Mitarbeiter des Unternehmens hätten mit dem Cloud-Anbieter zusammengearbeitet, der den Server hostete, mit dem die Reverse-Shell verbunden war, damit infizierte Geräte ihn nicht mehr erreichen konnten. Die Mitarbeiter entfernten auch die mit der Backdoor versehene Version aus dem Marktplatz und blockierten die weitere Verbreitung. Das Unternehmen schloss außerdem den VSCode-Marktplatz, um Schlüssel zu rotieren, Zugriffskontrollen zu prüfen und zu bestätigen, dass keine anderen Erweiterungen kompromittiert wurden. Der Marktplatz ist jetzt wieder offen – du kannst also wieder mit dem traditionellen Maß an Vertrauen Dinge herunterladen.

Es bleibt unklar, warum Anthropic Kunden nicht öffentlich vor der Bedrohung warnt und warum es und Cursor nicht