Alerta de Segurança: Extensões Maliciosas no Open VSX Coletam Dados de Desenvolvedores

A mais recente onda de ataques contra ambientes de desenvolvimento, revelada pela Manifold Security, destaca uma campanha de “evil twin” no registro Open VSX. Setenta e sete extensões se disfarçaram de pacotes legítimos para coletar informações sensíveis. Este incidente ecoa um padrão persistente de ataques à cadeia de suprimentos de software que visam desenvolvedores, conforme já noticiado pelo CEVIU News. Campanha da vez exfiltrava nomes de usuário de sistemas operacionais, caminhos de workspaces, hashes de commits Git e detalhes de infraestrutura CI/CD para o domínio malicioso mangorbit[.]com, usando consultas DNS TXT para resiliência de comando e controle (C2). Embora o Open VSX tenha removido os pacotes em três de agosto, a necessidade de auditoria manual e bloqueio do domínio C2 permanece urgente.

Este ataque se soma a uma série de outros que o CEVIU News tem monitorado. Em 28 de maio de 2026, por exemplo, a campanha TrapDoor impactou npm, PyPI e Crates.io, explorando pontos de execução nativos. Outro caso relevante foi a campanha PhantomRaven, em 13 de março de 2026, que usou typosquatting no NPM. O uso de táticas de engenharia social e ofuscação não é novo, mas a sofisticação da campanha atual, que chega a fazer falsas promessas de

Em 17 de março de 2026, o CEVIU News já havia reportado a campanha GlassWorm, que abusou de 72 extensões Open VSX. Agora, a nova campanha de "evil twin" aponta que a plataforma Open VSX continua sendo um alvo frequente, com táticas evoluindo. Enquanto a GlassWorm explorava `extensionPack` e `extensionDependencies` no `package.json`, a atual campanha se foca em imitar extensões legítimas e substituir seu código, frequentemente se anunciando como versões 0.0.1. A mudança mais notável é a camuflagem dos objetivos, com as extensões alegando coletar apenas "métricas de uso anônimas", mesmo quando exfiltravam dados muito mais específicos de desenvolvedores. Isso indica uma sofisticação maior na engenharia social e na dissimulação.

A crescente sofisticação dos ataques a ecossistemas de desenvolvimento, como o Open VSX, representa uma ameaça crítica à segurança da cadeia de suprimentos de software. Desenvolvedores são alvos valiosos, pois seu acesso privilegiado a código-fonte, credenciais e ambientes de produção pode levar a comprometimentos de grande escala. A exfiltração de metadados de ambientes de desenvolvimento e Git, mesmo sem acesso direto ao código-fonte, permite aos atacantes perfilar organizações e indivíduos para futuros ataques mais direcionados e eficazes. Bloquear domínios C2 como mangorbit[.]com é vital, mas a conscientização e a auditoria rigorosa de extensões se tornam defesas de primeira linha para qualquer equipe de segurança.