77 estensioni Open VSX raccogliendo informazioni sui sviluppatori scoperte

Il 4 agosto 2026, Manifold Security ha reso pubblico il ritrovamento di 77 estensioni Open VSX che raccoglievano informazioni sui sistemi e ambienti di sviluppo degli utenti. Queste estensioni, denominate “evil twin”, si presentavano come strumenti legittimi ma trasmettevano dati sensibili. L’indagine è stata condotta tra il 26 luglio e il 1 agosto 2026, con l’identificazione di un’attività comune attraverso un dominio di estrazione dati condiviso.

Estensioni malevole imitando strumenti legittimi

Le 77 estensioni, pubblicate su Open VSX, si presentavano come strumenti reali ma avevano codice malevolo. La maggior parte delle estensioni si collegava a server registrati su mangorbit[.]com, con alcuni che utilizzavano subdomini come pulse.mangorbit[.]com o api.mangorbit[.]com. La maggior parte delle estensioni aveva il numero di versione 0.0.1, mentre il file principale era sostituito con codice per raccogliere dati. Le estensioni non accessavano dati sensibili come credenziali o token di autenticazione. Tuttavia, Manifold ha segnalato che le estensioni trasmettevano dati più estensivi di quanto dichiarato, potenzialmente esponendo nomi o percorsi di repository privati.

Raccolta di dati sensibili e informazioni di CI

Le estensioni raccoglievano informazioni come il nome del sistema, il percorso del progetto, la versione dell’editor e dettagli sull’ambiente di sviluppo. Alcune raccoglievano anche dati di CI, come i repository GitHub o GitLab, e informazioni sull’organizzazione del developer. I dati raccolti includevano anche il nome utente, il nome del sistema operativo e dettagli sull’ambiente di lavoro. Alcune estensioni raccoglievano dati per un periodo di sette giorni. Le estensioni si avvalsero di endpoint multipli e potevano verificare se fossero state installate manualmente o automaticamente. Inoltre, alcuni varianti erano progettate per tentare di trasmettere i dati raccolti per un periodo di sette giorni, anche se l’infrastruttura hardcoded non era più attiva. Le estensioni si impersonavano su strumenti associati a tecnologie e organizzazioni come AMD, Azure, Salesforce, Hyperledger, LEGO Education, IOTA e un namespace di un’agenzia governativa. L’analisi ha rivelato che le estensioni non fornivano la funzionalità promessa nei loro annunci, ma mostravano un indicatore di stato prima di trasmettere i dati al server dell’attaccante.

Manifold ha rimosso le estensioni da Open VSX il 3 agosto 2026, ma i dati raccolti rimangono sui sistemi degli utenti. La società raccomanda di verificare le configurazioni e di bloccare il dominio mangorbit[.]com. Inoltre, i team di sicurezza segnalano che solo il 14% delle minacche viene rilevato, mentre il 54% passa inosservato. La Picus whitepaper mostra come i test di simulazione di attacco possano rivelare vulnerabilità nei sistemi di rilevamento. La scoperta sottolinea l’importanza di testare ogni livello di sicurezza prima che gli attaccanti possano agire.

—