Bösartige Claude-Code-Erweiterung im Cursor Marketplace; cPGuard-Updates liefern Backdoor

Eine manipulierte Coding-Erweiterung im Cursor-Marktplatz und ein gekapertes cPGuard-Updatesystem rückten zwei Software-Vertriebskanäle in den Mittelpunkt separater Sicherheitsvorfälle. SecurityWeek berichtete, dass bösartige Versionen der Claude-Code-Erweiterung am 29. Oktober verfügbar waren, während The Hacker News berichtete, dass ein Angreifer am 2. November das Updatesystem von cPGuard kompromittierte.

Der Cursor-Vorfall betraf die Versionen 2.1.312 und 2.1.313 der anthropic.claude-code-Erweiterung, die laut SecurityWeek etwa 11 Stunden lang im Cursor VS Code Extension Marketplace aktiv waren. Der Sicherheitsforscher Kevin Beaumont schätzte, dass etwa 5.000 Entwicklersysteme die bösartigen Versionen heruntergeladen haben könnten. Diese Zahl stellt potenzielle Downloads dar, keine bestätigte Anzahl kompromittierter Systeme.

Anthropic erklärte, dass die Erweiterung nicht von Anthropic stamme. In einer von SecurityWeek berichteten Stellungnahme sagte Felix Rieseberg von Anthropic, dass ein bösartiger Akteur den Zugang zum Cursor-Marktplatz genutzt habe, um eine manipulierte Kopie von Claude Code zu veröffentlichen, die Anthropic weder erstellt noch veröffentlicht habe.

Der cPGuard-Vorfall nutzte stattdessen das Updatesystem des Sicherheits-Tools, um ein bösartiges Skript an die Linux-Server der Kunden zu senden, berichtete The Hacker News unter Berufung auf eine OPSSHIELD-Warnung. OPSSHIELD gab an, dass das Skript eine Backdoor installierte und Passwort-Hashes sowie andere sensible Dateien von Servern sammelte, auf denen es ausgeführt wurde.

OPSSHIELD schätzte am späten 2. November UTC, dass der Angreifer 32 Dateien von seinem Lizenzserver entwendet hatte, die jeweils einem Kundenserver zugeordnet waren, so The Hacker News. Diese Schätzung bezieht sich auf vom Angreifer entwendete Dateien; sie unterscheidet sich von der Schätzung potenzieller Downloads im Cursor-Vorfall.

Die Berichte beschreiben separate Kompromittierungen von Software-Vertriebskanälen: eine manipulierte Erweiterung, die über einen Marktplatz veröffentlicht wurde, und ein bösartiges Skript, das über ein Updatesystem ausgeliefert wurde. Keiner der Berichte belegt einen gemeinsamen Angreifer hinter den beiden Vorfällen.