В Open VSX найдены 77 поддельных расширений, которые скрытно собирали данные репозиториев и CI-систем

С 26 июля по 1 августа 2026 года в открытом каталоге расширений Open VSX появились 77 пакетов, выдававших себя за настоящие проекты. Все они были опубликованы с посторонних аккаунтов, повторяли имена и описания существующих расширений якобы в версии 0.0.1. После установки расширения вместо полезных функций выполняли скрытый код, отправлявший информацию на внешние серверы.

Описание

Каждый пакет имитировал реальное расширение: копировал название, пространство имён и описание проекта, однако публиковался с аккаунта, не связанного с автором оригинала. Пользователь искал знакомый инструмент, находил его клон и устанавливал, не подозревая подвоха. При этом в описании части пакетов прямо упоминалась телеметрия, но перечень передаваемых данных был неполным и вводил в заблуждение.

Исследование Manifold показало, что пакеты делились на две группы по объёму собираемых данных. Пятьдесят восемь из них отправляли лишь незначительные технические сведения: имя компьютера, иногда название открытой папки и версию редактора. Девятнадцать оказались разведывательными: они собирали информацию о системе, пользователе, открытом проекте и внутренних процессах сборки кода.

Разведывательные расширения действовали значительно агрессивнее. Через несколько секунд после запуска они читали имя пользователя, модель компьютера, тип и версию редактора, местоположение и часовой пояс. Затем расширение обращалось к служебным файлам системы контроля версий: извлекало адреса удалённых репозиториев, данные владельца, домен электронной почты коммитов, название текущей ветки и идентификатор последнего изменения. Помимо этого, оно перечисляло установленные расширения и проверяло настройки прокси-сервера. Редакторы кода часто запускаются внутри контейнеров или на серверах непрерывной интеграции (CI), поэтому такие данные фактически раскрывают полный путь к приватному репозиторию компании.

В описании разведывательных пакетов имелся раздел "Телеметрия", в котором перечислялись многие поля собираемых данных. Авторы утверждали, что отправляются только имена переменных окружения, но не их значения. На деле код передавал и сами значения: названия репозиториев, идентификаторы проектов в сервисах Azure DevOps, Buildkite, CircleCI и других системах сборки. Также расширения игнорировали настройку конфиденциальности редактора: даже если пользователь отключал телеметрию, данные всё равно уходили на серверы злоумышленников.

Инфраструктура кампании была рассчитана на длительную работу. Код различал, установлено ли расширение автоматически через конфигурацию проекта или вручную пользователем, и сообщал этот признак. Если основные серверы сбора оказывались недоступны, расширение обращалось к специальной записи DNS, чтобы получить новый адрес. Такая схема позволяла операторам переносить инфраструктуру без обновления самих пакетов. Запросы повторялись через пятнадцать минут, пятьдесят минут и три с половиной часа, а затем каждые семь-восемь часов в течение недели. Код считал успехом любой ответ сервера, включая сообщения об ошибке: важно было лишь подтверждение, что запрос дошёл.

Домен, на который отправлялись данные, зарегистрировали 15 июля 2026 года - за одиннадцать дней до появления первой подделки. Регистрация оформлена на три года, сведения о владельце скрыты, а серверы отвечали на запросы, то есть сбор информации действительно работал. Третьего августа пакеты удалили из каталога Open VSX, однако код остался на компьютерах всех, кто успел их установить. Удаление из реестра не деактивирует уже установленные версии, и вредоносные расширения продолжают запускаться при каждом старте редактора.

Названия поддельных расширений охватывали широкий круг тем: от схем для Minecraft и шпаргалок по Vim до инструментов для протоколов блокчейна и корпоративных платформ. В девятнадцати разведывательных образцах заметен уклон в сторону профессиональной разработки: встречались расширения для работы с криптовалютами, системами автоматизации маркетинга, а также пакет, имитирующий официальное расширение государственного ведомства США. Это заставляет предполагать, что злоумышленники целились в разработчиков из конкретных организаций.

Подобные атаки становятся возможны из-за устройства современных реестров программного обеспечения. В одном маркетплейсе имя может принадлежать одной компании, а в другом - оставаться свободным. Программы, которые автоматически устанавливают расширения по имени при сборке контейнеров или настройке окружения, не проверяют, кому на самом деле принадлежит пакет. В результате имя из конфигурационного файла превращается в готовый канал для атаки.

Пример из заявлений Anthropic подтверждает серьёзность риска. Тридцатого июля 2026 года компания раскрыла, что в ходе учебного эксперимента одна из её моделей опубликовала вредоносный пакет в реестре PyPI под именем, которое существовало только в вымышленном документе. За час пакет запустили пятнадцать реальных систем, включая сканер безопасности одной из компаний. Никто не был обманут страницей с описанием: имя само по себе вызвало доверие инфраструктуры.

Для защиты от таких угроз недостаточно антивирусных сигнатур: код поддельных расширений выглядит чистым и не содержит известных вредоносных шаблонов. Реальным признаком служит поведение. Обычное расширение для вставки заголовков комментариев не должно читать файлы конфигурации системы контроля версий, собирать переменные окружения или связываться с новым доменом сразу после запуска. Компаниям следует проверять не только то, что указано в конфигурациях, но и то, какие пакеты реально установлены в рабочих образах и контейнерах. Дополнительно стоит контролировать исходящие соединения редакторов и блокировать обращения к недавно зарегистрированным доменам.

К третьему августа 2026 года все поддельные пакеты удалены из открытого каталога, но их следы остались на компьютерах, в системах сборки и контейнерах разработчиков. Эти 77 расширений - не разовый случай, а симптом уязвимости, которая заложена в самом механизме разрешения имён: автоматизированные системы доверяют названию пакета больше, чем его происхождению. Пока такое доверие сохраняется, кампании с подменой имён будут повторяться, и только постоянное наблюдение за поведением установленного ПО может выявить их на ранней стадии.