A plataforma Open VSX foi alvo de uma campanha maliciosa sofisticada, na qual 77 extensões falsificadas intercetaram e transmitiram informações sobre os sistemas e ambientes de desenvolvimento onde foram instaladas. Segundo revelou a Manifold Security, a atividade foi detetada entre 26 de julho e 1 de agosto de 2026, destacando o risco crescente na cadeia de abastecimento de software para profissionais e empresas.
A ameaça das extensões gémeas
A tática utilizada baseou-se na criação de "evil twins" — pacotes contrafeitos que copiam os nomes, espaços de nome (namespaces) e descrições de extensões legítimas para enganar os utilizadores durante a instalação. As ferramentas maliciosas disfarçavam-se de produtos associados a organizações reconhecidas, incluindo Azure, AMD, Salesforce e LEGO Education. A maioria das versões foi publicada por contas não relacionadas com os projetos originais e recebeu o número de versão 0.0.1.
O ficheiro agrupado original destas extensões foi substituído por código focado exclusivamente na recolha e transmissão de dados para um servidor controlado pelo atacante. Para encobrir a verdadeira intenção, as ferramentas exibiam mensagens falsas ou indicadores na barra de estado a confirmar a sua ativação. Apesar de as listagens indicarem a recolha de métricas anónimas de uso, o volume de informação exfiltrada ia muito além do declarado.
Diferentes níveis de espionagem
A campanha operou em dois níveis de gravidade. Num primeiro grupo, 58 das extensões funcionavam de forma mais contida, recolhendo e transmitindo o nome do anfitrião (hostname) da máquina, o nome da pasta de trabalho e a versão do editor. O cenário tornava-se mais complexo nas restantes 19 extensões.
Cerca de 4 a 5 segundos após a ativação, estes pacotes mais agressivos faziam um reconhecimento profundo do sistema. A informação recolhida incluía o identificador da máquina, sistema operativo, arquitetura, fuso horário e o caminho completo da pasta aberta no editor. As ferramentas liam ainda o diretório Git local para extrair o domínio de correio eletrónico configurado pelo programador, a ramificação (branch) atual e o código hash do último commit. Verificavam também até 60 extensões instaladas e recolhiam identificadores de ambientes cloud e integração contínua (CI), como o GitHub, GitLab e CircleCI.
As extensões foram programadas para tentar transmitir estes dados por um período de até 7 dias, recorrendo a mecanismos de recuperação caso a infraestrutura principal falhasse.
Remoção e impacto prático
Os investigadores confirmaram que o código não tentou aceder a chaves SSH, credenciais de autenticação, código fonte ou dados do navegador. Todas as 77 extensões foram eliminadas do repositório Open VSX no dia 3 de agosto de 2026.
Para quem trabalha no setor da programação, isto significa que a simples remoção na loja não soluciona automaticamente o problema nos computadores locais. É indispensável que os programadores verifiquem manualmente os seus sistemas e ficheiros de configuração de espaços de trabalho, apagando qualquer vestígio destes pacotes para travar o risco de perfilagem de infraestruturas e repositórios privados.
Nenhum comentário
Seja o primeiro!