Pesquisadores de cibersegurança identificaram uma extensão maliciosa do Visual Studio Code (VS Code), editor de código da Microsoft, chamada Solidity Pro ("solidity-pro"), que foi observada distribuindo um ladrão de credenciais e carteiras de navegador.
As extensões comprometidas
Os nomes das extensões maliciosas são:
- helper-beeps.solidity-pro
- web3devtoolsx.solidity-pro
Embora nenhuma das extensões esteja disponível no Open VSX (repositório aberto de extensões), o repositório no GitHub para "web3devtoolsx/solidity-pro" continua acessível até o momento da publicação.
De acordo com a Yeeth Security, as primeiras versões das extensões – da 1.0.0 até a v2.4.x – foram identificadas fazendo chamadas (beacons) para endpoints do Cloudflare Workers (plataforma de execução de funções na nuvem da Cloudflare), a fim de recuperar e executar um payload (código malicioso) em Python criptografado.
Já as versões posteriores, a partir da v3.0.0, migraram para um ladrão de informações completo, capaz de coletar perfis de navegador, carteiras de criptomoedas, tokens de controle de versão, chaves de API (Interface de Programação de Aplicações), chaves SSH (Secure Shell, protocolo de acesso remoto seguro) e tokens de bots do Telegram. Os dados capturados são então exfiltrados por meio de upload via um bot do Telegram.
Dados coletados pelo malware
A lista de dados capturados pelo ladrão é a seguinte:
- Tokens do GitHub dos tipos ghp_ e github_pat_
- Tokens do GitLab do tipo glpat-
- Chaves e tokens de sessão da AWS (Amazon Web Services)
- Tokens da Cloudflare do tipo cfat_
- Chaves da OpenAI dos tipos sk-, sk-proj- e sk-ant-
- Tokens de bots do Telegram
- Frases mnemônicas e seeds (frases de recuperação de carteiras)
- Cofres das carteiras MetaMask, Phantom, Rabby, Coinbase, Trust e Keplr
- Bitcoin em formato WIF (Wallet Import Format) e xprv
- Chaves privadas SSH (PRIVATE KEY)
- Credenciais de URL e tokens de MFA (Autenticação de Multifator) do 1Password
Como o malware se esconde das análises
A família de malware também é equipada para burlar a revisão de marketplaces, varreduras estáticas e análises automatizadas em sandboxes (ambientes isolados de teste) por meio de ofuscação pesada, versões intermediárias aparentemente limpas para conquistar confiança e ativação aleatória e atrasada, que faz o código malicioso rodar várias horas ou dias após a instalação.
"Quando o branch (ramificação de código) malicioso finalmente é executado, o usuário já decidiu que a extensão é útil, e os scanners automatizados, que observam o pacote por apenas alguns minutos, já passaram pelo conteúdo", disse a Yeeth Security. "A ofuscação não é decorativa; ela divide strings em tabelas IIFE (Immediately Invoked Function Expression, Função Imediatamente Invocada), as remonta em tempo de execução e alterna nomes de métodos entre versões, de modo que a detecção baseada em assinaturas precisa acompanhar um alvo em movimento."
Ligação com o grupo WhiteCobra
A empresa de cibersegurança afirmou que a atividade compartilha o mesmo modus operandi do WhiteCobra, outro grupo de ameaça detectado em setembro de 2025, que distribuía o Lumma Stealer por meio de extensões maliciosas do VS Code.
Esta não é a primeira vez que agentes maliciosos publicam extensões falsas de Solidity em ecossistemas de código aberto. Em junho de 2026, a Yeeth Security identificou outra extensão chamada "ethdevtools.solidity-language-support", que se passava por uma ferramenta de suporte à linguagem Solidity para desenvolvedores Ethereum, mas abrigava um ladrão de área de transferência com ativação atrasada para capturar frases seed BIP-39 (padrão para geração de frases de recuperação de carteiras de criptomoedas), chaves privadas Ethereum e endereços de carteira.
"Quando um endereço de criptomoedas reconhecido está na área de transferência, ele substitui o valor colado por um endereço controlado pelo atacante", acrescentou a empresa. "A troca ocorre por meio do vscode.env.clipboard.writeText, uma chamada de API de primeiro nível que não exige child_process, acesso à rede nem gravação de arquivos. Scanners estáticos que procuram apenas imports perigosos do Node não vão enxergar isso."
Outros pacotes e extensões maliciosas identificadas
As descobertas também coincidem com a identificação de uma série de extensões do VS Code e pacotes npm (gerenciador de pacotes do Node.js) maliciosos:
- Um pacote npm chamado "ascii-fetcher", que embute o código malicioso em uma dependência chamada "@jaymara/jsononifier" para decodificar um comando interno (no caso observado, "calc.exe") e executá-lo via "child_process.exec" com a flag "windowsHide".
- Um conjunto de 10 extensões do VS Code que entrega uma grande variedade de droppers (programas que instalam o malware) do tipo BAT (arquivo de lote do Windows), JavaScript e HTA (HTML Application, aplicação HTML do Windows). Duas delas agrupam uma dependência npm que usa um hook (gancho de execução automática) de pós-instalação para buscar e executar um payload remoto.
- Uma extensão do VS Code chamada "DigitalBarberTrim.html-entity-codec" que solta um arquivo VSIX (pacote de extensão do Visual Studio) remoto em versões selecionadas, após enumerar forks conhecidos do VS Code como Cursor, Windsurf, Codium e Positron, enquanto serve um "stub quase vazio" em outras para passar despercebida.
- Uma extensão do VS Code chamada "Zlmiles.zlmiles-liquid" (removida do VS Marketplace), que faz uso de um suposto kit de construção para soltar um instalador MSI (Microsoft Installer) hospedado em um domínio do Replit.
Recomendações de segurança
Usuários que instalaram as extensões são orientados a removê-las, inspecionar grafos de dependências, bloquear domínios conhecidos de comando e controle (C2) e criar alertas para o uso dos comandos cscript, mshta, cmd, curl e powershell.
