Minacce · 54 giorni fa
Il punto non è la rimozione di 77 extension malevole. Il punto è che un marketplace reale è stato usato per far passare tool finti come normali estensioni di sviluppo e trasformare installazioni ordinarie in raccolta silenziosa di segnali su host, workspace, repo e contesti CI. In questa forma il bersaglio non è la singola listing, ma l’ambiente di sviluppo che la installa e la considera attendibile.
Open VSX ha rimosso un cluster di 77 extension pubblicate tra il 26 luglio e il 1° agosto 2026. Cinquantotto erano versioni leggere, pensate per esfiltrare hostname e pochi altri dettagli; 19 raccoglievano anche informazioni più ricche, come repository aperto, percorso del workspace e sistema CI in uso. Le extension copiavano nomi, namespace e descrizioni di tool reali, ma il codice serviva solo a inviare metadati a un dominio comune.
Per i team che usano Open VSX o marketplace compatibili con VS Code, il rischio non è la perdita immediata del codice sorgente. È la possibilità di mappare repository, workspace e infrastruttura di build a partire da molte installazioni apparentemente banali, e usare quei dati per scegliere obiettivi successivi più preziosi.
2 fonti che coprono questa storia
Fake Open VSX Extensions Harvest Private Repo and CI Data
77 counterfeit Open VSX extensions beaconed to one domain, 19 harvesting git and CI identity
Open VSX Removes 77 Malicious Evil Twin Extensions Exfiltrating Developer Data
Open VSX removes 77 evil twin extensions that impersonate developer tools and exfiltrate host, workspace, Git, and CI data.
Part of the PlainSec briefing for 2026-08-05