Eine gestohlene Anmeldeinformation erlaubte Angreifern, das Auslieferungssystem für Erweiterungen von Cursor als Zugang zu Entwicklerrechnern zu nutzen, wie Cursor bestätigt hat. In seinem Bericht vom 14. November schildert BleepingComputer die neu veröffentlichte Darstellung des Unternehmens zu einem Einbruch, bei dem Kundendaten offengelegt wurden und schädliche Claude-Code-Pakete bis zu 5.000 Nutzer erreichten.
Im Fokus stehen zunächst Entwickler, die die Versionen 2.1.312 oder 2.1.313 von anthropic.claude-code am 29. Oktober 2026 aus dem Marktplatz von Cursor installiert oder automatisch aktualisiert haben. Die Pakete versuchten, dauerhaften Fernzugriff einzurichten. Ein Update oder die Deinstallation der Erweiterung entfernt jedoch nicht die unbefugten Schlüssel und Autostart-Dateien, die an anderer Stelle auf dem Gerät hinterlassen worden sein könnten.
Cursor schätzt, dass bis zu 5.000 Nutzer, die diese Versionen während des Expositionszeitraums angefordert haben, möglicherweise die manipulierten Builds erhalten haben. Die Analyse von Microsoft vom 30. Oktober nennt ein Verfügbarkeitsfenster von Cursor von etwa 2:27 Uhr bis 13:35 Uhr (Pacific Daylight Time) am 29. Oktober. Dieses Fenster endete rund elf Stunden vor der Entfernung.
Von Trainingsdaten zur Verteilung der Erweiterung
Cursor, ein KI-gestützter Editor auf Basis des Open-Source-Projekts Visual Studio Code von Microsoft, führte den Einbruch auf einen Zugriffsschlüssel bei Fireworks AI zurück, dem externen Anbieter für Modelltraining und Inferenz. BleepingComputer berichtete, dass Cursor seine ausführlichere Darstellung des Vorfalls am Freitag veröffentlicht hat.
Der Schlüssel gewährte Angreifern Lesezugriff auf einen Speicher-Bucket, der für den Datenaustausch mit Fireworks genutzt wurde. Sie kopierten historische Traces von Coding-Agenten, also Aufzeichnungen der Aktivitäten dieser Agenten, überwiegend aus dem Jahr 2025. Sie stammten von Nutzern, deren Daten für das Modelltraining verwendbar waren, weil sie den Privacy Mode nicht aktiviert hatten.
Einige Traces enthielten nicht geschwärzte API-Zugangsdaten, mit denen sich die Angreifer in weitere Systeme von Cursor einloggen konnten. Cursor beziffert die Betroffenheit auf weniger als 0,05 % der Nutzer bei den Agent-Traces und auf weniger als 0,01 % der Kunden bei kompromittierten API-Zugangsdaten.
Zu den Daten aus den gehosteten Geschäftswerkzeugen von Cursor gehörten archivierte Quell-Repositories ohne Produktivbetrieb, teils mit geschäftlichen Kontaktdaten, begrenzte Supportunterlagen und E-Mail-Verläufe, Nutzungsmetriken und Kontaktdaten von Kunden, Zusammenfassungen einzelner Agent-Gespräche sowie Zugangsdaten, die Kunden dem Supportteam zuvor übermittelt hatten.
Nach Angaben von Cursor hat die Überwachung die unbefugte Aktivität erkannt. Das Unternehmen widerrief den Fireworks-Schlüssel, tauschte offengelegte Zugangsdaten aus und untersuchte weitere Zugriffe; dabei deaktivierte es vorübergehend einige interne Dienste und Produktdienste. Die Angreifer verfügten jedoch bereits über eine weitere Zugangsberechtigung, mit der sie unbefugte Erweiterungspakete direkt in den Cache schreiben konnten, der den Marktplatz von Cursor bedient.
Das Unternehmen erklärt, dass die Produktionsinfrastruktur, offizielle Anwendungsversionen, Quellcode-Repositories von Kunden sowie Code und Prompts von Nutzern im Privacy Mode nicht betroffen waren. Zu den Gegenmaßnahmen gehörten die Umstellung des gesamten Inferenz-Traffics weg von Fireworks, der Neuaufbau des Erweiterungsmarktplatzes und eine vorsorgliche Neubereitstellung der Produktionsinfrastruktur.
Der Verteilungsweg ist für die Bewertung der Betroffenheit entscheidend. Open VSX, der von Cursor genutzte Marktplatz, und die legitime Erweiterung von Anthropic wurden nicht kompromittiert. Microsoft bestätigte, dass weder der Visual Studio Marketplace noch npm mit dem Paket @anthropic-ai/claude-code die schädlichen Pakete verteilt haben. Anthropic teilte Microsoft mit, dass die eigenen Systeme nicht kompromittiert seien und das manipulierte Paket nicht von Anthropic stamme. Nach den Erkenntnissen von Microsoft beschränkte sich der Vorfall auf den Marktplatz von Cursor.
Was beim Laden der Erweiterung geschah
Microsoft Threat Intelligence stellte fest, dass eingeschleustes JavaScript vor dem regulären Code der Erweiterung ausgeführt wurde. Über die Schnittstellen von Node.js und integrierte Betriebssystemwerkzeuge konnte der Code Informationen sammeln, Dateien verändern und Befehle ausführen, ohne eine weitere ausführbare Datei nachzuladen. Die Erweiterung funktionierte weiter, während der eingeschleuste Code die Befehlsausgaben verbarg und Fehler stillschweigend abfing.
Die erste Aufgabe war die Aufklärung: Hostname, Benutzername, Betriebssystem, Prozessorarchitektur, Home- und Arbeitsverzeichnisse sowie die globale Git-E-Mail-Adresse. Außerdem wählte der Code bis zu 40 Namen von Umgebungsvariablen aus, die Begriffen wie KEY, TOKEN, SECRET, PASS, AWS oder GCP entsprachen. Ein verzögerter Rückruf versuchte, die Hostdaten und diese Variablennamen zu melden, nicht aber die gespeicherten geheimen Werte.
Für den Fernzugriff wurden zwei verschiedene Schlüssel verwendet. Der Loader durchsuchte die SSH-Autorisierungsdatei des Benutzers nach svc-telemetry; fehlte der Eintrag, fügte er einen eingebetteten öffentlichen Ed25519-Schlüssel hinzu. SSH (Secure Shell) ist ein Protokoll für authentifizierten Fernzugriff. Dieser Eintrag konnte daher jedem Zugang verschaffen, der den passenden privaten Schlüssel besaß, abhängig von der lokalen Konfiguration.
Ein separater eingebetteter privater Schlüssel authentifizierte eine ausgehende Verbindung für das Remote-Konto tunnel. Die temporäre Datei begann mit .stk_, gefolgt von zehn hexadezimalen Zeichen, die aus dem Hostnamen und dem Home-Verzeichnis abgeleitet wurden. SSH lud sie mit -i. Die Verbindung forderte eine Reverse-Weiterleitung an und schuf so einen Rückweg durch den ausgehenden Tunnel zum SSH-Dienst des Arbeitsplatzes. Autostart-Mechanismen versuchten danach, diese Verbindung aufrechtzuerhalten, noch bevor der verzögerte Aufklärungsbericht gesendet wurde.
Dabei handelte es sich um versuchte Fähigkeiten, deren Erfolg von den Rechten des Geräts, den SSH-Einstellungen und der Serverkonfiguration des Angreifers abhing. BleepingComputer berichtete unter Berufung auf Forscher, dass Programmierfehler vermutlich funktionierende Backdoors auf vielen Windows- und macOS-Geräten verhindert haben, auf denen SSH nicht bereits aktiviert war. Microsoft stellte dennoch fest, dass Autorisierungsschlüssel und Autostart-Artefakte auch dann geschrieben werden konnten, wenn der Tunnel fehlschlug.
BleepingComputer ordnet den Einbruch den KI-Entwicklungsangriffen zu, die Wiz als „Black October“ bezeichnet. Sie betrafen Railway, Northflank, Lightning AI, OpenCode und Warp und umfassten den Missbrauch von Zugangsdaten für unbefugte Inferenz, teilweise auch Versuche der Modell-Destillation. Dabei entstanden rund 740.000 US-Dollar an betrügerischen Railway-AI-Kosten und unbefugter OpenCode-Nutzung. Zudem gehörten dazu Fireworks-Einbrüche im Oktober, bei denen Schlüssel und Token offengelegt wurden, sowie Entwicklungsrechner, die über einen kompromittierten Cloud-Anbieter betroffen waren. Außerdem wurden KI-Transkripte aus einer kleinen Anzahl von Notion-Workspaces offengelegt.
Beweise sichern, dann dauerhaften Zugriff entfernen
Microsoft rät Organisationen, betroffene Installationen zu identifizieren und Installationsnachweise mit Geräte-, Netzwerk-, Datei-, Prozess- und Authentifizierungsprotokollen abzugleichen. Geräte, auf denen die Ausführung des Loaders oder die Installation einer Backdoor zu sehen ist, sollten isoliert werden. Vor der Bereinigung sind das Erweiterungspaket, geänderte Autorisierungsdateien, erzeugte Schlüssel, Skripte und die Autostart-Konfiguration zu sichern.
Nützliche Indikatoren für die Untersuchung sind das konfigurierte SSH- und HTTP-Ziel 134.209.82[.]225 sowie der Meldeendpunkt hxxp://134[.]209[.]82[.]225:8099/beacon. Microsoft nennt folgende SHA-256-Hashes:
- JavaScript-Einstiegspunkt:
ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15. Dieser Hash identifiziert das Skript, nicht das Erweiterungspaket. - Entschlüsselte Datei des privaten Tunnelschlüssels:
7e0a52885fadee05544a9e99eb18c792bec05900a5e1a66d68f8383decb0e278.
Zur Prüfung unbefugter Zugriffsschlüssel sind unter macOS und Linux ~/.ssh/authorized_keys und unter Windows %USERPROFILE%\.ssh\authorized_keys sowie gegebenenfalls C:\ProgramData\ssh\administrators_authorized_keys zu untersuchen. Den verdächtigen Eintrag svc-telemetry sollte man mit dem Fingerprint SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk abgleichen, bevor genau dieser Schlüssel gelöscht wird. Legitime Schlüssel und Einstellungen für die Remote-Entwicklung bleiben erhalten. Das Fehlen der Kennzeichnung allein reicht nicht aus, um ein Gerät als unbedenklich einzustufen.
Nach der Beweissicherung sind die schädliche Erweiterung und die bestätigten Persistenzmechanismen zu entfernen:
- macOS: Den Eintrag
~/Library/LaunchAgents/com.apple.sysmond.plistentladen und löschen, eine benutzerbezogene Autostart-Konfiguration, zusammen mit~/.config/.smtund~/.config/.smtk. - Linux: Den schädlichen
@reboot-Eintrag in der Benutzer-Crontab löschen, der auf~/.config/.smtverweist, andere Einträge belassen und das Skript sowie~/.config/.smtkentfernen. - Windows: Die schädliche geplante Aufgabe
SysMon, den Fallbacksysmon.cmdim Autostart-Ordner,%USERPROFILE%\.config\smt.cmdund%USERPROFILE%\.config\smtkentfernen.
Autostart-Aktionen sind vor dem Entfernen zu prüfen, denn ein vertrauter Dateiname allein genügt nicht. Bestätigte schädliche SSH-Prozesse und Wiederholungsprozesse sind zu beenden. Nach der Beweissicherung sind temporäre Identitäten zu entfernen, die dem Muster .stk_[0-9a-f]{10} entsprechen.
Microsoft stellt Defender-Erkennungen und Hunting-Abfragen bereit, die Verbindungen, Dateiartefakte, geplante Windows-Aufgaben und Änderungen am Autostart unter macOS abdecken. Treffer sind Ansatzpunkte für die Untersuchung und müssen mit anderen Daten korreliert werden, da Dateihashes nicht in jedem Ereignis enthalten sind.
Cursor stellt außerdem plattformspezifische Prüfungen und Bereinigungsskripte bereit. Microsoft empfiehlt, sie vor der Anwendung zusammen mit ihren Ausführungsvoraussetzungen zu prüfen. Ermittler sollten die Aktivität nach dem Laden der Erweiterung untersuchen, darunter akzeptierte SSH-Schlüssel, Tunnel, lokale Sitzungen, Befehle und Dateizugriffe. Wenn eine Offenlegung von Zugangsdaten vorliegt oder das Vertrauen in das Gerät nicht wiederhergestellt werden kann, sind Zugangsdaten von einem bekannt sauberen Gerät aus zu erneuern und Sitzungen zu widerrufen. Ein Neuaufsetzen ist erforderlich, wenn die Untersuchung dies verlangt.
Weder das Entfernen der Erweiterung noch die von Cursor gemeldete Abschaltung des Servers beseitigt vorhandene Artefakte auf Geräten. Man sollte prüfen, dass sie nach Anmeldung oder Neustart nicht zurückkehren, und die von Microsoft empfohlenen Schutzmaßnahmen für Cursor anwenden: Erweiterungen auf genehmigte Herausgeber beschränken und eine Installationssperre (Cooldown) nutzen, um neu veröffentlichte Versionen zu verzögern.
