Am 29. Oktober 2026 wurde über den Cursor-Marketplace eine manipulierte Version der offiziellen Claude-Code-Extension für VS Code verteilt. Wer sie installiert oder per Auto-Update erhalten hat, bekam einen Remote Access Trojaner auf den Rechner: eine SSH-Backdoor, die sich selbst dauerhaft einnistet und nach Hause telefoniert. Wir fassen zusammen, was passiert ist, und zeigen dann, was für unsere Kunden zählt: Goldoak Spectacles hat den Trojaner wenige Stunden nach Bekanntwerden erkannt und geblockt, bevor die meisten Unternehmen überhaupt wussten, dass es ein Problem gibt.
Die Backdoor in der Claude-Code-Extension kurz erklärt
Die Claude-Code-Extension von Anthropic wird von Entwicklern weltweit genutzt, um den KI-Assistenten direkt in VS Code, Cursor und ähnlichen Editoren zu verwenden. Am 29. Oktober 2026 lag auf dem Cursor-Marketplace (Open VSX) für rund elf Stunden die Version 2.1.313 mit eingeschleustem Schadcode. Der Microsoft Visual Studio Marketplace war nach aktuellem Stand nicht betroffen. Laut Cursor haben bis zu 5'000 Systeme diese Version erhalten, viele davon automatisch über das Auto-Update des Editors.
Der Schadcode läuft, sobald die Extension geladen wird, noch bevor die eigentliche Funktion startet. Er tut im Wesentlichen vier Dinge:
- Ausspähen: Er sammelt Hostname, Benutzername, Betriebssystem, Home-Verzeichnis, die Namen der Umgebungsvariablen, Arbeitsverzeichnisse, die in Git konfigurierte E-Mail-Adresse und die öffentliche IP.
- Backdoor legen: Er hängt einen SSH-Schlüssel des Angreifers mit dem Kommentar
svc-telemetryin die Dateiauthorized_keys, versucht den lokalen SSH-Dienst zu aktivieren und baut einen Reverse-SSH-Tunnel zu einem Server des Angreifers auf. - Dauerhaft bleiben: Auf macOS legt er einen LaunchAgent mit dem unauffälligen Namen
com.apple.sysmondan, auf Windows eine geplante Aufgabe namensSysMonmit Fallback über den Autostart-Ordner, auf Linux einen Cron-Eintrag. Alle versuchen den Tunnel etwa jede Minute neu aufzubauen. - Melden: Er schickt die gesammelten Daten und den Status der Backdoor per HTTP-POST an einen Beacon-Endpunkt auf Port 8099.
Wegen Fehlern im Schadcode schlägt das Aktivieren des SSH-Dienstes auf den meisten Rechnern fehl, weil dafür Admin-Rechte nötig sind. Die Spionage-Daten, der fremde SSH-Schlüssel und die Persistenz-Mechanismen landen trotzdem auf dem System.
Anthropic hat die Version 2.1.313 inzwischen durch 2.1.314 ersetzt. Das entfernt den Schadcode aus der Extension, aber nicht das, was er auf bereits betroffenen Rechnern hinterlassen hat. Wer die Version hatte, muss den Rechner bereinigen und alle Zugangsdaten rotieren, die von diesem Rechner aus erreichbar waren.
Quellen:
- Kevin Beaumont, DoublePulsar: Anthropic hacked to deliver remote access trojan to Claude developer laptops worldwide
- Cursor: Security notice zur bösartigen Version 2.1.313
- Help Net Security: Claude Code extension poisoned with persistent SSH backdoor
Der Fall ist ein klassischer Supply-Chain-Angriff: Niemand hat etwas Falsches angeklickt. Das Update kam vom offiziellen Herausgeber, über den offiziellen Marketplace, und wurde automatisch eingespielt. Genau deshalb ist er so gefährlich.
So hat Goldoak Spectacles unsere Kunden vor dem Trojaner geschützt
Goldoak Spectacles überwacht die Endpoints unserer Kunden rund um die Uhr mit einem Agent, der jeden Prozessstart, jede Dateiänderung und jede Netzwerkverbindung sieht. Als die ersten Analysen zur manipulierten Extension öffentlich wurden, haben wir innerhalb weniger Stunden gezielte Erkennungsregeln auf alle Kundensysteme ausgerollt. Sie schlagen bei genau den Spuren an, die dieser Trojaner hinterlässt:
- Ein Editor-Prozess wie Cursor oder VS Code schreibt in
authorized_keysoder legt SSH-Schlüssel ab. - Ein neuer LaunchAgent, eine neue geplante Aufgabe oder ein neuer Cron-Eintrag wird aus einem Editor-Prozess heraus angelegt.
sshoderautosshstartet mit einem Reverse-Tunnel-Parameter.- Ein Prozess verbindet sich mit der bekannten Angreifer-Infrastruktur oder sendet an den Beacon-Endpunkt auf Port 8099.
Erkennung allein reicht nicht. Spectacles isoliert ein betroffenes Gerät bei einem Treffer automatisch vom Netzwerk. Der Rechner bleibt an und bleibt mit unserer Plattform verbunden, aber der Angreifer kommt nicht weiter: kein Tunnel nach aussen, kein Zugriff auf Code, Zugangsdaten oder interne Systeme, keine Ausbreitung. Zwischen Erkennung und Isolation vergehen Minuten, ohne dass jemand eingreifen muss.
Für unsere Kunden hiess das: Entwickler-Rechner mit der betroffenen Version wurden nicht zum Einfallstor ins Unternehmen. Die Bereinigung konnte in Ruhe erfolgen, nicht im Wettlauf gegen jemanden, der bereits per SSH drin ist. Und das ohne eigene Security-Abteilung, denn die Regeln, die Überwachung und die Reaktion kommen von uns.
Kurz gesagt: Goldoak Spectacles schützt vor der Backdoor in der Claude-Code-Extension, indem es das Verhalten des Trojaners auf dem Endpoint erkennt und das Gerät automatisch isoliert, bevor aus einem Extension-Update ein Sicherheitsvorfall wird.
So haben wir geklärt, ob unsere Kunden betroffen waren
Das Update auf 2.1.314 schliesst die Tür. Es sagt aber nichts darüber, ob vorher jemand drin war und was er mitgenommen hat. Genau das wollten unsere Kunden wissen.
Weil Spectacles alle Prozess-, Datei- und Netzwerkereignisse fortlaufend speichert, haben wir für jedes überwachte Gerät rückwirkend geprüft:
- War die Version 2.1.313 der Extension installiert?
- Wurde die Datei
authorized_keysverändert, und steht der Schlüsselsvc-telemetrydarin? - Wurden der LaunchAgent
com.apple.sysmond, die AufgabeSysMonoder ein entsprechender Cron-Eintrag angelegt? - Gab es Verbindungsversuche zur Angreifer-Infrastruktur oder zum Beacon-Endpunkt?
Das Ergebnis ist eine klare Aussage pro Gerät: nicht betroffen, oder betroffen mit vollständigem Ablauf von Extension-Update über Dateiänderung bis Netzwerkverbindung. Für betroffene Geräte liegt damit die Grundlage für die Bereinigung und für die Entscheidung vor, welche Zugangsdaten, Tokens und SSH-Schlüssel rotiert werden müssen. Für nicht betroffene Geräte haben unsere Kunden einen belastbaren Nachweis gegenüber Geschäftsleitung, Auditoren und eigenen Kunden.
Ohne eine solche Aufzeichnung bleibt nur Raten. Die Extension-Version lässt sich vielleicht noch nachvollziehen, aber nicht, was der Schadcode danach auf dem Rechner getan hat und ob der Tunnel je stand.
Kurz gesagt: Mit Goldoak Spectacles lässt sich für jeden Entwickler-Rechner nachweisen, ob die manipulierte Claude-Code-Extension aktiv war und was sie hinterlassen hat.
Häufige Fragen zur Backdoor in der Claude-Code-Extension
Bin ich betroffen? Nur, wenn am 29. Oktober 2026 die Version 2.1.313 der Extension Anthropic.claude-code über den Cursor-Marketplace oder Open VSX installiert oder automatisch aktualisiert wurde. Der schnellste Check: In der Datei ~/.ssh/authorized_keys nach dem Eintrag svc-telemetry suchen.
Reicht das Update auf 2.1.314? Nein. Das Update entfernt nur den Schadcode aus der Extension. Der fremde SSH-Schlüssel, die Persistenz-Mechanismen und die abgeflossenen Daten bleiben. Betroffene Rechner müssen bereinigt werden, Cursor stellt dafür Skripte bereit. Danach alle Zugangsdaten rotieren, die von diesem Rechner aus erreichbar waren: SSH-Schlüssel, Cloud-Tokens, API-Keys, Git-Credentials.
Was wurde gestohlen? Mindestens Hostname, Benutzername, Betriebssystem, Git-E-Mail, öffentliche IP und die Namen der Umgebungsvariablen. Ob ein Angreifer per SSH tatsächlich auf dem Rechner war, lässt sich nur mit einer Aufzeichnung der Prozess- und Netzwerkereignisse klären.
Hätte ein Virenscanner das verhindert? Klassische Signaturen kannten den Code am ersten Tag nicht. Was hilft, ist die Erkennung von Verhalten: ein Editor, der SSH-Schlüssel schreibt und Autostart-Einträge anlegt, ist verdächtig, egal welche Datei das auslöst.
Welche Lehre ziehe ich daraus? Auto-Updates sind richtig, aber sie machen jeden Herausgeber zu einem Teil der eigenen Angriffsfläche. Entwickler-Rechner mit Zugang zu Code, Cloud und Produktion gehören deshalb genauso überwacht wie Server.
Fazit
Der Fall zeigt, worauf es bei einem Supply-Chain-Angriff ankommt: Patchen hilft nur gegen die nächste Infektion, nicht gegen die, die schon da ist. Entscheidend ist, dass ein einzelner infizierter Rechner nicht das ganze Unternehmen gefährdet und dass sich im Nachhinein klären lässt, was passiert ist. Beides hat Goldoak Spectacles für unsere Kunden geleistet, wenige Stunden nachdem die Backdoor bekannt wurde.
Nutzt dein Team Cursor oder VS Code mit der Claude-Code-Extension und du weisst nicht, ob die Version 2.1.313 im Einsatz war? Kontaktiere uns, wir prüfen deine Geräte auf Spuren der Backdoor. Bei einem akuten Vorfall ist unser Incident-Response-Team rund um die Uhr erreichbar.