Manipulierte Claude-Code-Extension im Cursor-Marktplatz
Laut Phorion lagen im Cursor-Marktplatz manipulierte Builds der offiziellen Claude-Code-Extension, Versionen 2.1.313 und (laut Cursor-Hinweis vom 31.10. für macOS und Windows) 2.1.312. Der eingeschleuste Code läuft schon beim Laden von extension.js: Er trägt einen Ed25519-Key mit Kommentar svc-telemetry in ~/.ssh/authorized_keys ein, öffnet einen Reverse-SSH-Tunnel zu 134.209.82.225 (Port 22, Nutzer tunnel), richtet Autostart ein (LaunchAgent com.apple.sysmond, @reboot-Cron, Windows-Task SysMon) und schickt einmalig Hostname, Nutzer, OS, Git-E-Mail, öffentliche IP und die Namen (nicht Werte) geheimnisartiger Umgebungsvariablen an Port 8099.