Аналитики Koi Security зафиксировали организованную кампанию WhiteCobra против экосистемы расширений для разработчиков: в VS Code Marketplace и Open VSX Registry размещено не менее 24 вредоносных VSIX, нацеленных на пользователей VS Code, Cursor и Windsurf. Кампания продолжает эволюционировать: удалённые плагины быстро заменяются новыми версиями, что указывает на устойчивую инфраструктуру распространения и управление по модели «непрерывного развертывания» атаки.
Цепочка атаки: маскировка под «Hello World» и загрузка с Cloudflare Pages
Базовый модуль расширения (extension.js) имитирует типовой шаблон «Hello World», но содержит скрытый вызов второго этапа (prompt.js). Далее загрузчик подтягивает платформенно-зависимую полезную нагрузку с Cloudflare Pages — доступны варианты для Windows, macOS на Intel и macOS на ARM. Такой подход повышает выживаемость атаки и позволяет обходить простые сигнатурные проверки.
Windows: PowerShell → Python → shellcode → Lumma
На Windows цепочка приводит к выполнению Lumma stealer (LummaC2): PowerShell запускает Python-скрипт, который декодирует и исполняет шеллкод. Цели — данные из криптокошельков и браузерных расширений, сохранённые пароли, куки и информация из мессенджеров. Это соответствует известной тактике злоумышленников: использование легитимных компонентов ОС для «живучести» и усложнения анализа.
macOS: локальный Mach-O с дальнейшей загрузкой
На macOS исполняется локальный бинарник Mach-O, загружающий дополнительный вредоносный модуль. Семейство малвари в этой ветке не определено, что усложняет сигнатурную детекцию и атрибуцию.
Социальная инженерия и «витринная» легитимность
WhiteCobra продвигает расширения с профессиональной визуализацией, подробными описаниями и искусственно завышенными показателями скачиваний и отзывов. Показательный кейс: разработчик Ethereum Зак Коул сообщил о компрометации кошелька после установки contractshark.solidity-lang для Cursor — в Open VSX у него числилось около 54 000 загрузок. По данным Koi Security, только в июле 2025 года через вредоносный плагин для Cursor AI было похищено криптоактивов на сумму свыше $500 000.
Почему экосистема расширений уязвима
VSIX — кроссплатформенный формат, поддерживаемый VS Code, Cursor и Windsurf. Низкий порог публикации и ограниченная модерация в репозиториях создают окно возможностей для атак на цепочку поставок. Ранее исследователи (в т.ч. Checkmarx и Aqua Security) неоднократно предупреждали, что магазины расширений могут становиться каналом доставки малвари, а рейтинги и счётчики скачиваний — объектом манипуляций.
Организация кампании WhiteCobra
По сведениям Koi Security, внутреннее руководство группы определяет целевые «выручки» от $10 000 до $500 000, содержит инструкции по развертыванию C2-инфраструктуры, а также методики социальной инженерии и маркетингового продвижения. Важная деталь: после блокировки артефактов злоумышленники способны развернуть новые экземпляры менее чем за три часа, что указывает на автоматизацию и готовые пайплайны.
Кому грозит риск и чем он обусловлен
В зоне наибольшего риска — разработчики и команды, работающие с криптокошельками, приватными ключами, токенами доступа и репозиториями кода. Похищение сессионных данных и секретов приводит к компрометации инфраструктуры CI/CD и хищению цифровых активов. Перекрёстное заражение через IDE повышает вероятность массового воздействия.
Практические меры снижения рисков
1) Контроль источников: устанавливайте расширения только от проверенных издателей; верифицируйте GitHub-репозитории, историю коммитов и соответствие кода заявленной функциональности. Остерегайтесь плагинов с резким всплеском «популярности» без репутационной истории.
2) Политики на уровне организации: внедряйте allowlist расширений, отключайте сайдлоадинг VSIX, закрепляйте версии (pinning), проводите ревью артефактов перед развёртыванием на рабочих станциях разработчиков.
3) Техническая защита: мониторьте аномальные цепочки PowerShell/Python, ограничивайте исходящий трафик к неизвестным доменам (включая временные хостинги), применяйте EDR с поведенческой детекцией стилеров и блокируйте известные IoC из отчётов Koi Security.
4) Реагирование: при подозрении на компрометацию немедленно отзывайте токены и ключи, заменяйте секреты, проводите проверку рабочих станций и обращайтесь к площадкам (VS Code Marketplace/Open VSX) для удаления вредоносных пакетов.
Кампания WhiteCobra демонстрирует, что магазины расширений для IDE стали критическим звеном цепочки поставок. Надёжная модерация, верификация издателей, телеметрия поведения расширений и прозрачная реакция экосистемы — необходимые условия для снижения системного риска. Пользователям и организациям стоит пересмотреть политики работы с расширениями и внедрить многоуровневую защиту уже сейчас.
