Cursor selbst ist ein KI-gestützter Code-Editor, der auf dem quelloffenen Visual Studio Code von Microsoft aufbaut und VS-Code-Erweiterungen unterstützt.
Betroffene Rechner müssen gesichert werden
The Hacker News ergänzt, dass Nutzer, welche die kompromittierte Erweiterung im Zeitfenster installierten, die Hosts isolieren, den unbefugten SSH-Schlüssel und die Persistenzmechanismen entfernen sowie Anmeldedaten und Sitzungen rotieren müssen.
BleepingComputer empfiehlt für kompromittierte Rechner, diese zu isolieren, alle zugänglichen Geheimnisse zu rotieren, Sitzungen zu invalidieren und die betroffene Umgebung aus gesicherten Backups neu aufzubauen.
Angriff auf die Lieferkette bleibt unklar
Nach anfängigen Berichten, die npm, Open VSX und den Microsoft VS Code Marketplace einschlossen, wurde später bestätigt, dass Cursor die einzige Quelle war, die die bösartige Erweiterung verbreitete.
Es bleiben viele Fragen zu diesem Lieferkettenangriff unbeantwortet, wie die Bedrohungsakteure eine bösartige Erweiterung unter dem Namen von Anthropic im Cursor-Marktplatz veröffentlichen konnten und ob die Systeme von Cursor oder Anthropic selbst kompromittiert wurden.
Auch die genaue Methode, mit der Angreifer das unbefugte Update eingeführt haben, bleibt unklar, so berichtet The Hacker News.