Maliziöses VS-Code-Plugin Solidity Pro zielt auf Krypto-Wallets und Cloud-Zugänge

Forschende von Yeeth Security haben die bösartige Erweiterung Solidity Pro für Microsoft Visual Studio Code entdeckt, die sich als Tool für Entwickler von Smart Contracts in Solidity tarnt, aber Kryptowallets, Zugriffstoken für Cloud-Dienste, SSH-Keys und Anmeldedaten aus Browsern stiehlt. Die Erweiterung wurde unter den Bezeichnern helper-beeps.solidity-pro und web3devtoolsx.solidity-pro verbreitet. Entwickler, die eine dieser Erweiterungen installiert haben, müssen sie umgehend entfernen, alle potenziell kompromittierten Secrets rotieren und ihre Systeme auf Spuren einer Kompromittierung prüfen.

Entwicklung des Schadcodes: Vom Loader zum vollwertigen Stealer

Laut den Forschern entwickelte sich die schädliche Aktivität schrittweise. Frühere Versionen der Erweiterung – von 1.0.0 bis 2.4.x – kontaktierten Cloudflare-Workers-Endpunkte, um einen verschlüsselten Python-Payload herunterzuladen und auszuführen. Ab Version 3.0.0 wandelte sich die Erweiterung zu einem vollwertigen Infostealer mit einer erweiterten Liste von Zielen.

Dem Bericht zufolge sammelt der Stealer folgende Kategorien von Daten:

• Tokens von Versionskontrollsystemen: GitHub (ghp_, github_pat_), GitLab (glpat-)
• Cloud-Zugangsdaten: AWS-Schlüssel und Session-Tokens, Cloudflare-Tokens (cfat_)
• API-Keys: OpenAI (sk-, sk-proj-, sk-ant-)
• Kryptowallets: Speicher von MetaMask, Phantom, Rabby, Coinbase, Trust, Keplr
• Kryptografische Secrets: mnemonische Phrasen und Seed-Phrasen, Bitcoin WIF/xprv
• SSH-Keys, Tokens von Telegram-Bots, Zugangsdaten aus URLs und MFA-Tokens von 1Password

Die gesammelten Daten werden laut den Forschern exfiltriert, indem sie an einen Telegram-Bot hochgeladen werden. Das Repository web3devtoolsx/solidity-pro war zum Zeitpunkt der Veröffentlichung der Untersuchung weiterhin öffentlich zugänglich.

Techniken zur Umgehung der Erkennung

Besonders bemerkenswert ist das mehrstufige System zur Umgehung der Erkennung, das von den Autoren der Erweiterung eingesetzt wird. Nach Angaben von Yeeth Security kommen drei zentrale Methoden zum Einsatz:

• Starke Obfuskation: Zeichenketten werden über IIFE-Tabellen (Immediately Invoked Function Expression) aufgeteilt und erst zur Laufzeit zusammengesetzt. Methodennamen ändern sich zwischen den Releases, was signaturbasierte Erkennung wirkungslos macht.
• Zwischengeschaltete „saubere“ Versionen: Zwischen schädlichen Updates werden harmlose Versionen veröffentlicht, um Vertrauen bei Nutzern und den Prüfsystemen des Marktplatzes aufzubauen.
• Zufällige verzögerte Aktivierung: Der Schadcode startet erst einige Stunden oder Tage nach der Installation. Bis zur Aktivierung haben automatische Scanner, die das Paket nur wenige Minuten beobachten, ihre Prüfung bereits abgeschlossen.

Verbindung zu anderen bösartigen Kampagnen

Die Forschenden von Yeeth Security stellen fest, dass die Aktivität von Solidity Pro taktische Überschneidungen mit dem Bedrohungscluster WhiteCobra aufweist, der im September 2025 bei der Verbreitung des Lumma Stealer über bösartige VS-Code-Erweiterungen beobachtet wurde. Es ist zu betonen, dass dieser Zusammenhang lediglich auf der Einschätzung einer einzigen Forschungsquelle beruht und nicht unabhängig bestätigt ist.

Solidity Pro ist bei Weitem kein Einzelfall. Im Juni 2026 identifizierte dieselbe Forschungsgruppe eine Erweiterung ethdevtools.solidity-language-support, die ein Support-Tool für die Sprache Solidity für Ethereum-Entwickler imitierte. Diese Erweiterung enthielt einen Clipboard-Stealer mit verzögerter Aktivierung: Sobald im Zwischenspeicher eine Krypto-Adresse erkannt wurde, ersetzte er sie durch die Adresse des Angreifers über die legitime APIvscode.env.clipboard.writeText. Die Nutzung der Standard-API bedeutet, dass statische Scanner, die nur den Import gefährlicher Node.js-Module prüfen, eine solche Manipulation nicht erkennen.

Parallel dazu wurden weitere bösartige Komponenten im Ökosystem von VS Code und npm entdeckt:

• npm-Paket ascii-fetcher mit der schädlichen Abhängigkeit @jaymara/jsononifier, die eingebettete Kommandos über child_process.exec ausführt
• Ein Set aus 10 VS-Code-Erweiterungen, die Dropper auf Basis von BAT, JavaScript und HTA nachladen
• Die Erweiterung DigitalBarberTrim.html-entity-codec, die nach dem Auflisten von VS-Code-Forks (Cursor, Windsurf, Codium, Positron) eine entfernte VSIX-Datei installiert

Einschätzung der Auswirkungen

Die Haupt-Risikogruppe sind Web3- und Blockchain-Entwickler, die intensiv Solidity nutzen und mit Kryptowallets arbeiten. Der Umfang der gestohlenen Daten geht jedoch weit über den Kryptobereich hinaus: Die Kompromittierung von AWS- und SSH-Keys sowie GitHub- und GitLab-Tokens kann zu unautorisiertem Zugriff auf Cloud-Infrastrukturen, Quellcode-Repositories und CI/CD-Pipelines führen. Der Diebstahl von OpenAI-Keys birgt das Risiko finanzieller Verluste durch unbefugte Nutzung kostenpflichtiger APIs.

Das Ausbleiben offizieller Hinweise von Microsoft oder Open VSX zu diesen Erweiterungen bedeutet, dass das Ausmaß der Verbreitung und die Zahl der betroffenen Nutzer unbekannt bleiben.

Praktische Empfehlungen

1. Sofortige Entfernung: Deinstallieren Sie die Erweiterungen helper-beeps.solidity-pro und web3devtoolsx.solidity-pro und prüfen Sie, ob weitere der genannten bösartigen Erweiterungen vorhanden sind.
2. Rotation von Secrets: Ersetzen Sie alle GitHub-, GitLab-, AWS-, Cloudflare-, OpenAI- und Telegram-Tokens, die auf der kompromittierten Maschine verfügbar gewesen sein könnten. Generieren Sie neue SSH-Keys.
3. Prüfung von Kryptowallets: Wenn auf dem System MetaMask, Phantom, Rabby, Coinbase, Trust oder Keplr verwendet wurden, sind mnemonische Phrasen und private Schlüssel als kompromittiert zu betrachten. Überführen Sie Gelder auf neue Wallets, die auf einem nachweislich sauberen Gerät erstellt wurden.
4. Überwachung von Prozessen: Richten Sie Alarme für den Start von cscript, mshta, cmd, curl und powershell aus dem Kontext von VS Code ein.
5. Audit von Abhängigkeiten: Prüfen Sie den Abhängigkeitsgraph der installierten Erweiterungen und npm-Pakete. Achten Sie insbesondere auf postinstall-Hooks in Abhängigkeiten.
6. Richtlinie zur Installation von Erweiterungen: Beschränken Sie in Unternehmensumgebungen die Liste der zulässigen VS-Code-Erweiterungen. Verwenden Sie Allowlists anstelle freier Installation.

Die Kampagne rund um Solidity Pro demonstriert ein ausgereiftes Angriffsmodell auf die Lieferkette über IDE-Erweiterungen: schrittweise Aufrüstung der schädlichen Funktionalität, Umgehung automatisierter Marktplatz-Prüfungen und gezielte Sammlung hochsensibler Secrets von Entwicklern. Organisationen, deren Entwickler mit VS Code und dessen Forks arbeiten, sollten ein Audit der installierten Erweiterungen durchführen, Richtlinien zur Einschränkung von Installationen aus nicht verifizierten Quellen einführen und alle Secrets auf Systemen rotieren, auf denen verdächtige Erweiterungen festgestellt wurden.