Sicherheitsforscher von Phorion haben bekannt gegeben, dass die offizielle VS-Code-Erweiterung „Claude Code“, die über den Cursor Marketplace vertrieben wird ,kompromittiert wurde . Die schädliche Version (2.1.313) wurde über die Software-Lieferkette kompromittiert und enthielt eine plattformübergreifende SSH-Backdoor, die einen dauerhaften Fernzugriff auf macOS-, Linux- und Windows-Systeme ermöglichte. Nach Bekanntwerden des Vorfalls wurde die betroffene Version aus dem Marketplace und den zugehörigen Paketregistern entfernt.
Im Gegensatz zu herkömmlichen Anmeldedaten-Stealern war dieser Angriff darauf ausgelegt, langfristigen interaktiven Zugriff auf Entwickler-Workstations zu ermöglichen, indem SSH-Authentifizierungsschlüssel platziert, Reverse-Tunnel eingerichtet und Mechanismen zur Persistenz im Betriebssystem geschaffen wurden.
Für Unternehmen, die Claude Code, VS Code oder Cursor in Entwicklungsumgebungen einsetzen, stellt dieser Vorfall eine erhebliche Eskalation der Bedrohungslage in der IDE-Lieferkette dar.
Laut Phorion modifizierte ein Angreifer das primäre JavaScript-Bundle der Erweiterung, indem er einen bösartigen „Immediately-Invoked Function Expression“ (IIFE) voranstellte, der sofort nach dem Laden der Erweiterung ausgeführt wurde. Eine Benutzerinteraktion war nicht erforderlich.
Da VS-Code- und Cursor-Erweiterungen mit den Berechtigungen des angemeldeten Benutzers ausgeführt werden, erhält der Schadcode sofort Zugriff auf Quellcode-Repositorys, lokale Dateien, Entwicklungszugangsdaten, SSH-Konfigurationen und Cloud-Tools.
Die potenziellen Auswirkungen dieses Vorfalls in der Software-Lieferkette werden derzeit noch untersucht. Es ist nicht bekannt, ob offizielle Versionen der Erweiterung auch auf anderen Marktplätzen als Cursor kompromittiert wurden.
Wenn Sie VS Code mit der Erweiterung für Claude verwenden, wird empfohlen, die folgenden IoCs in Ihrer Umgebung zu überprüfen:
~/.config/.smt
~/.config/.smtk
~/Library/LaunchAgents/com.apple.sysmond.plist
Einträge in „Authorized_keys“, die auf „svc-telemetry“verweisen
Falls Ihre Organisation von diesem Angriff auf die Software-Lieferkette betroffen war, wenden Sie sich bitte an das Integrity360 Incident Response-Team, um Unterstützung zu erhalten.
Referenz: https://phorion.io/blog/offical-claude-code-vsx-compromise/
Wenn Sie Bedenken hinsichtlich einer der in diesem Bulletin beschriebenen Bedrohungen haben oder Hilfe bei der Ermittlung geeigneter Maßnahmen benötigen, um sich vor den für Ihr Unternehmen relevantesten Bedrohungen zu schützen, wenden Sie sich bitte an Ihren Kundenbetreuer oder kontaktieren Sie uns, um zu erfahren, wie Sie Ihr Unternehmen schützen können.