77 разширения в Open VSX магазина са имитирали легитимни инструменти за разработчици, докато са превеждали информация за системите и средите за разработка, на които са били инсталирани.

Така наречената кампания „evil twin“ (зъл близнак) е разкрита от Manifold Security, които са засекли разширенията между 26 юли и 1 август 2026 г. Изследователите свързват всички 77 разширения с една и съща дейност чрез общ домейн за източване на данни, както и чрез подобно кодово и мрежово поведение.

Докато 58 разширения са изпращали само малко количество системна информация, останалите 19 са съдържали по-обширно разузнаване, което е източвало метаданни за разработчика, Git хранилището и средите за непрекъсната интеграция (CI).

Manifold обаче установява, че разширенията не са имали достъп до изходен код, идентификационни данни, токени за автентификация, SSH материали или данни от браузъра, и отказва да спекулира относно целта на кампанията.

Разширения „Evil Twin“, свързани чрез обща инфраструктура

Разширението от тип „evil twin“ е фалшив пакет, който копира идентичността на легитимно разширение, за да подмами хората да го инсталират.

В тази кампания пакетите са използвали повторно имената, пространствата от имена (namespaces) и описанията на реални разширения от Open VSX, но са били публикувани чрез несвързани акаунти.

На повечето е била присвоена ниската версия 0.0.1, докато съпътстващият файл extension.js на легитимното разширение е бил заменен с код, предназначен основно за събиране и предаване на данни.

От Manifold споделят, че разширенията не са предоставяли рекламираната функционалност, а вместо това са показвали индикатор в лентата на състоянието или съобщение, че разширението е активно, преди да изпратят данните към сървъра на атакуващия.

Пакетите са имитирали разширения, свързани с широк спектър от технологии и организации, включително AMD, Azure, Salesforce, Hyperledger, LEGO Education, IOTA, както и пространство от имена на правителствена агенция на САЩ.

Всички 77 разширения са комуникирали със сървър на адрес mangorbit[.]com, който е бил регистриран на 15 юли 2026 г., единадесет дни преди появата на първите пакети.

Manifold посочва, че повечето образци са се свързвали с pulse.mangorbit[.]com или pulse2.mangorbit[.]com, докато други са използвали api.mangorbit[.]com или рандомизирани поддомейни под cb.mangorbit[.]com.

Всеки пакет е включвал собствен проследяващ идентификатор, позволяващ на оператора да определи кое фалшиво разширение е било инсталирано.

Петдесет и осем от разширенията са съдържали злонамерен код, който основно е източвал името на хоста на машината, като някои варианти са изпращали също името на папката на работното пространство и версията на редактора.

Останалите 19 разширения са събирали значително повече информация приблизително четири до пет секунди след активирането, включително потребителското име на операционната система и името на хоста, идентификатора на машината, името и версията на редактора, архитектурата на платформата, локала, часовия пояс и името и пълния път във файловата система на работното пространство, отворено в редактора.

Разширенията също така са проверявали някои файлове в директорията .git на работното пространство, за да получат отдалечените Git хостове и организации, домейна на конфигурирания имейл на разработчика, текущия клон и хеша на HEAD коммита.

Те са изброявали до 60 инсталирани разширения и са събирали идентификатори от среди за CI и облачна разработка, включително GitHub, GitLab, Azure DevOps, Buildkite, CircleCI, GitHub Codespaces и Gitpod.

Необичайното в тази кампания е, че описанията в Open VSX са разкривали, че събират т.нар. „анонимни показатели за употреба“ и коректно са посочвали, че нямат достъп до изходния код или идентификационните данни.

Manifold обаче съобщава, че разширенията са изпращали повече данни от декларираните, включително CI информация, която може да разкрие имена или пътища на частни хранилища. Някои също са проверявали дали са инсталирани ръчно или автоматично чрез конфигурация на проекта.

Някои варианти са били проектирани да продължават да се опитват да предават събраните данни в продължение на до седем дни. Те също са поддържали множество крайни точки за събиране и са можели да направят заявка към DNS TXT запис за алтернативен URL адрес, ако твърдо кодираната инфраструктура спре да реагира.

От Manifold не приписват кампанията на конкретна група и отказват да спекулират относно намеренията на оператора. Въпреки това 19-те разузнавателни разширения са събрали достатъчно метаданни, за да профилират организации, среди за разработка и частни хранилища.

Пакетите са били премахнати от Open VSX до 3 август 2026 г., но те все още трябва да бъдат ръчно премахнати от системите и приложенията на разработчиците.

Manifold препоръчва да се проверят системите и конфигурационните файлове на работните пространства за идентификаторите на разширенията, изброени в доклада им, и да се блокира домейнът mangorbit[.]com, използван от всички 77 пакета в кампанията.