Claude Code in Cursor: Backdoor prüfen und entfernen

Wenn du im betroffenen Zeitraum die Claude-Code-Erweiterung 2.1.312 oder 2.1.313 über Cursor installiert hast, prüfe den Rechner vor der weiteren Arbeit. Isoliere Rechner mit Hinweisen auf Schadcode und entferne die Spuren der Backdoor. Widerrufe und ersetze von einem vertrauenswürdigen Gerät aus alle Zugangsdaten, auf die der betroffene Rechner zugreifen konnte. Ein Update der Erweiterung allein entfernt ihre Persistenzmechanismen nicht.

Bin ich betroffen? Prüfe Quelle, Version, Plattform und Zeitpunkt

Untersuche deine Installation, wenn sie zum folgenden Umfang passt oder du unabhängig vom Installationszeitpunkt einen Indikator findest. Stand 2026-11-02 nennt Cursors Sicherheitshinweis diese Angaben:

Prüfpunkte	Gemeldeter Umfang
Erweiterung	Anthropic.claude-code, verteilt über den Cursor VS Code Extension Marketplace
Versionen	Manipulierte Kopien von 2.1.312 und 2.1.313
Plattformen	macOS und Windows
Zeitraum für Installation oder Update	Ungefähr 02:27–13:35 PDT am 2026-10-29
Derselbe Zeitraum in UTC	Ungefähr 09:27–20:35 UTC am 2026-10-29

Laut Cursor hat Anthropic diese manipulierten Pakete nicht entwickelt. Berücksichtige auch automatische Updates. Die aktuell installierte Version kann von der Version während des Vorfalls abweichen.

Lass eine verdächtige Cursor-Installation geschlossen. Prüfe vorhandene Installationsprotokolle oder die Metadaten der Erweiterung auf dem Datenträger, einschließlich package.json, ohne die Erweiterung zu laden. Notiere Version, Plattform, Quelle und Installationszeitpunkt.

Verwende claude --version nicht zur Prüfung der Erweiterung. Laut Anthropics Dokumentation enthält die Erweiterung eine eigene CLI, also ein Kommandozeilenprogramm. Dein Terminal kann eine separat installierte Kopie ausführen.

Microsofts unabhängige Analyse bestätigt, dass die Pakete aus Microsoft Visual Studio Marketplace und npm von diesem Vorfall nicht betroffen waren. An der Versionsnummer allein erkennst du nicht, ob ein Paket authentisch oder manipuliert ist.

Bewerte Linux gesondert. Phorions Analyse beschreibt Codepfade für Linux, während Cursor die betroffene Verteilung für macOS und Windows bestätigt. Untersuche passende Spuren unter Linux, ohne daraus eine bestätigte Verteilung für Linux abzuleiten. Führe dort kein Bereinigungsskript für macOS aus.

Führe die offiziellen Prüfungen auf den SSH-Schlüssel aus

Führe die Prüfung für das betroffene Konto aus und vergleiche das Ergebnis mit den Installations- und Persistenzspuren. Bei einem Treffer erscheint svc-telemetry key found.

Die folgenden Befehle stammen von Cursor. Die negative Meldung beweist nicht, dass der Rechner nie betroffen war.

macOS: Bash

Führe diesen Befehl im Terminal als betroffener Benutzer aus:

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Der Befehl sucht nach einem bestimmten Kommentar in einer einzelnen Datei. Seine Option -s unterdrückt auch Meldungen zu fehlenden Dateien und Lesefehlern. Kläre, warum eine Datei nicht lesbar ist, statt die negative Ausgabe als Entwarnung zu verstehen.

Windows: PowerShell

Führe Cursors Prüfung für das Profil des betroffenen Benutzers aus:

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

Behebe Zugriffsfehler beim Prüfen der gemeinsamen Administrator-Datei. Wenn du die Rechte mit einem anderen Konto erhöhst, ändert sich der Wert von $HOME. Prüfe auch das ursprünglich betroffene Profil.

Findest du die Markierung, isoliere den Rechner und überprüfe den Schlüssel. Cursor veröffentlicht diesen Fingerabdruck des Schlüssels, der dem Angreifer den Zugang erlaubt:

SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk

Unter macOS hilft dieser OpenSSH-Befehl zur Fingerabdruckprüfung, die Einträge zu vergleichen. Er liest die Datei nur:

ssh-keygen -lf "$HOME/.ssh/authorized_keys" -E sha256

Wenn sich die Datei nicht auswerten lässt oder Kommentare abweichen, vergleiche den Schlüssel selbst mit dem Sicherheitshinweis. Die Bereinigungsskripte berücksichtigen, dass der Angreifer seinen Schlüssel an eine vorhandene Zeile angehängt haben kann. Lösche eine passende Zeile nicht ungeprüft vollständig: Sie kann auch einen legitimen Schlüssel enthalten.

Prüfe die Persistenz und sichere Beweise

Prüfe die folgenden Dateien und Autostart-Aktionen, bevor du den Rechner als bereinigt einstufst. Die Namen sind Hinweise für die Untersuchung, keine Liste zum pauschalen Löschen.

Bereich	Indikatoren aus Cursors Hinweis
Dateien unter macOS	~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist
Autostart unter macOS	LaunchAgent mit dem Label com.apple.sysmond
Dateien unter Windows	%USERPROFILE%\.config\smt.cmd, %USERPROFILE%\.config\smtk
Autostart unter Windows	Geplante Aufgabe SysMon; Ausweichlösung: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\sysmon.cmd
Temporäre Dateien	$TMPDIR/.stk_<10 hex> unter macOS; %TEMP%\.stk_<10 hex> unter Windows
Netzwerk	Verbindungen zu 134[.]209[.]82[.]225, darunter SSH über TCP 22 und HTTP /beacon auf Port 8099

Das Suffix <10 hex> beschreibt ein Muster für den Dateinamen. Die spitzen Klammern gehören nicht wörtlich zum Namen. Prüfe vor dem Entfernen eines Autostart-Eintrags dessen konfigurierte Aktion und zugehörige Dateien.

Sichere auf Team-Rechnern das Erweiterungspaket, relevante Schlüsseldateien, die Autostart-Konfiguration und Geräteprotokolle nach eurem Verfahren für Sicherheitsvorfälle. Isoliere Rechner mit Spuren ausgeführten Schadcodes oder einer installierten Backdoor. Das Schließen des Editors entfernt keine unabhängig laufenden Skripte.

Phorion stellte fest, dass der eingeschleuste Code ausgeführt wird, sobald Node das Modul lädt, noch vor dem normalen activate-Callback der Erweiterung. Dafür musst du keinen Prompt an Claude senden.

Laut Cursor wurde der Server des Angreifers abgeschaltet. Das unterbricht den beschriebenen Verbindungsweg, entfernt aber keine lokalen Spuren. Auch eine gescheiterte SSH-Aktivierung schließt weder den hinzugefügten Schlüssel noch Persistenzdateien oder gesammelte Rechnerinformationen aus.

Führe Cursors Bereinigungsskript aus und prüfe seine Grenzen

Verwende das im Sicherheitshinweis verlinkte Skript, nachdem du die benötigten Beweise gesichert hast. Lies die heruntergeladene Datei vor dem Ausführen und schließe zuerst die Editoren.

Die Skripte entfernen manipulierte Erweiterungsverzeichnisse, abgelegte Dateien, Persistenzmechanismen und den Autorisierungsschlüssel des Angreifers. Sie beenden außerdem passende Tunnelprozesse. Widerrufe API-Zugangsdaten separat und untersuche die Rechneraktivität über die Ergebnisse der Bereinigung hinaus.

Bereinigung unter macOS

Lade Cursors Bereinigungsskript für macOS herunter. Führe es aus dem Speicherordner jeweils als betroffener Benutzer aus, ohne sudo:

bash remediate-macos.sh
echo "Exit status: $?"

Das Skript verweigert die Ausführung als root. Es bearbeitet den LaunchAgent com.apple.sysmond, passende Prozesse und Dateien sowie Erweiterungspakete, die svc-telemetry enthalten. Den Angreiferschlüssel entfernt es anhand des exakten Schlüsseltexts.

Bereinigung unter Windows

Lade Cursors Bereinigungsskript für Windows herunter. Öffne PowerShell über Run as Administrator mit Administratorrechten und führe den Befehl aus dem Speicherordner aus:

powershell -ExecutionPolicy Bypass -File .\remediate-windows.ps1
$LASTEXITCODE

Das Skript durchläuft die registrierten Benutzerprofile. Es bearbeitet die schädliche Aktion der geplanten Aufgabe, passende Prozesse, Erweiterungsverzeichnisse, abgelegte Dateien und Autorisierungsschlüssel in den Benutzerprofilen.

Prüfe nach der Bereinigung zusätzlich C:\ProgramData\ssh\administrators_authorized_keys, sofern die Datei existiert. Ist der Angreiferschlüssel vorhanden, soll ein Administrator genau den unzulässigen Eintrag entfernen und legitime Schlüssel erhalten.

Ein Rückgabecode ungleich null oder die Meldung incomplete erfordert weitere Schritte. Behebe die gemeldeten Fehler und wiederhole die betreffende Prüfung.

Der Rückgabecode 0 bedeutet, dass das Skript bei seinen Prüfungen keinen verbliebenen Befund gemeldet hat. Prüfe auch benutzerdefinierte Erweiterungspfade anhand der veröffentlichten Indikatoren. Kontrolliere die Konfiguration des lokalen SSH-Dienstes separat und bestätige, dass sie deinen Vorgaben entspricht.

Lass den Rechner isoliert, wenn Spuren zurückkehren, unerwartete SSH-Zugriffe auftreten oder spätere Aktivitäten ungeklärt bleiben. Lass das zuständige Sicherheitsteam einen Neuaufbau bewerten, bevor du wieder Zugangsdaten auf dem Rechner hinterlegst.

Widerrufe und ersetze Zugangsdaten des betroffenen Rechners

Widerrufe gefährdete Zugangsdaten von einem vertrauenswürdigen Gerät aus, auch wenn sie nichts mit Claude Code zu tun haben. Hinterlege neue Zugangsdaten erst nach abgeschlossener Bereinigung oder Neuinstallation auf dem betroffenen Rechner.

Cursor beschreibt das Sammeln von Namen der Umgebungsvariablen. Das belegt keinen Diebstahl ihrer Werte. Die Empfehlung zum Austausch berücksichtigt auch einen möglichen späteren Zugriff durch die Backdoor.

Nutze diese Liste, um Verantwortliche zu bestimmen und abgeschlossene Maßnahmen zu dokumentieren:

Zugangsdaten	Erforderliche Maßnahme
API-Schlüssel von Anthropic	Öffne auf der API-Schlüsselseite der Claude Console das Menü des betroffenen Schlüssels. Wähle Delete API key und erstelle anschließend einen Ersatz.
API-Schlüssel von OpenAI	Lösche betroffene Schlüssel im API-Schlüssel-Dashboard, erstelle neue und prüfe die Nutzung auf unerwartete Aktivitäten.
Tokens von Git-Plattformen	Widerrufe persönliche Zugriffstokens und andere zugängliche Zugangsdaten beim ausstellenden Dienst. Hinterlege die neuen Zugangsdaten in legitimen Automatisierungen.
SSH-Client-Schlüssel	Ersetze möglicherweise offengelegte private Schlüssel. Entferne die Zugangsberechtigungen ihrer alten öffentlichen Schlüssel auf Git-Plattformen und anderen Servern.
Cloud-Zugangsdaten	Widerrufe gefährdete Zugriffsschlüssel und behandle temporäre Sitzungen separat. Prüfe unbefugt angelegte Ressourcen, Änderungen an Zugriffsrechten und die Nutzung.
Kontositzungen	Widerrufe betroffene Browser-, CLI- und SSO-Sitzungen über den jeweiligen Dienst oder die zuständige Identitätsverwaltung.

Anthropics Anleitung für kompromittierte Schlüssel beschreibt die Bedienelemente zum Löschen und Ersetzen. OpenAIs Sicherheitshinweise erläutern das Löschen von API-Schlüsseln und die Prüfung der Nutzung.

Lösche betroffene GitHub-Tokens in den Einstellungen für persönliche Zugriffstokens. Prüfe SSH-Schlüssel und aktive Sitzungen gesondert.

Befolge für AWS die Anleitung bei offengelegten Zugriffsschlüsseln. Für Rollensitzungen gelten die gesonderten Hinweise zu temporären Zugangsdaten.

Nimm auch Gateway-Schlüssel in die Liste auf. Wenn du BetterToken genutzt hast, gehört dein BetterToken-API-Schlüssel dazu. In der Konsole kannst du Schlüssel erstellen; ein neuer Schlüssel widerruft den gefährdeten alten Schlüssel nicht automatisch. Bestätige den Widerruf beim ausstellenden Dienst, bevor du den Austausch als abgeschlossen markierst.

Das Entfernen von svc-telemetry auf deinem Rechner widerruft nicht deine eigenen privaten SSH-Schlüssel bei entfernten Diensten. Auch das Löschen eines lokalen Konfigurationswerts macht den ursprünglichen API-Schlüssel nicht ungültig.

Für die weitere Wiederherstellung hilft die Checkliste zum Widerrufen und Prüfen von Zugangsdaten. Bestätige den Widerruf beim ausstellenden Dienst, aktualisiere legitime Anwendungen und prüfe aus einer vertrauenswürdigen Umgebung, ob die vorgesehenen Anfragen funktionieren.

Installiere nach der Wiederherstellung aus einer verifizierten Quelle

Installiere nach der Bereinigung oder auf einem neu aufgesetzten Rechner eine aktuelle Version aus einer vertrauenswürdigen Quelle. In seiner Mitteilung zum Vorfall forderte Cursor zum Update auf 2.1.314 auf. Das ist die für diesen Vorfall ausdrücklich genannte Zielversion.

Öffne über Anthropics Installationsseite den vorgesehenen Eintrag der Erweiterung. Prüfe Herausgeber, Kennung Anthropic.claude-code, Quell-Registry und installierte Version. Die Ansicht Extensions zeigt die Version nach der Installation an.

Prüfe die veröffentlichten Indikatoren nach einer Anmeldung oder einem Neustart erneut. Kehren Persistenzspuren zurück, nutze den Rechner nicht weiter und nimm die Untersuchung wieder auf.

Die Installation für das Terminal verwendet ein separates Paket. Die Anleitung zur Installation und zum ersten Start von Claude Code hilft bei dessen Prüfung, bereinigt aber keinen bereits betroffenen Rechner.

Prüfe vor der nächsten Installation die Herkunft der Erweiterung

Prüfe den Installationslink des Anbieters und die tatsächliche Registry, bevor du einem vertrauten Erweiterungsnamen vertraust. Halte für freigegebene Pakete Herausgeber, Kennung, Version, Plattform und Downloadquelle fest.

Cursors Dokumentation zu Erweiterungen warnt: Derselbe Name publisher.extension kann je nach Registry für andere Herausgeber oder anderen Code stehen.

Vergleiche Hashes nur für dasselbe Artefakt, dieselbe Plattform und dieselbe Version. Der Hash eines VSIX-Pakets lässt sich nicht mit dem Hash von extension.js vergleichen. Eine Abweichung von einem bekannten schädlichen Hash beweist keine Echtheit.

Stand 2026-11-02 dokumentiert Cursor Marketplace Install Cooldown (hours) für Team-Inhaber und Administratoren. Enterprise-Teams können außerdem gültige Erweiterungssignaturen von Open VSX vor der Installation verlangen.

Ergänze diese Maßnahmen durch eine Prüfung von Agentenanweisungen und heruntergeladener Konfiguration. Die Prüfung von AGENTS.md und der Claude-Code-Konfiguration behandelt diese weitere Quelle ausführbarer Anweisungen.