Dossier whitecobra-vsix-crypto-stealersChaîne d’approvisionnement IAMondial
WhiteCobra inonde Open VSX et le VS Code Marketplace de 24 extensions voleuses de cryptos
Koi Security a relié un groupe qu'il a baptisé WhiteCobra à 24 extensions malveillantes dont le script de seconde étape téléchargeait LummaStealer ou une charge macOS ; le développeur Ethereum Zak Cole a perdu son portefeuille à cause d'une fausse extension Solidity pour Cursor.
ÉlevéeAttaque contre l’IAStatut: En coursDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 13 sept. 2025
- Lieu
- Mondial
- Cible
- Utilisateurs de VS Code, Cursor et Windsurf
- Gravité
- Élevée
- Déclenché par
- WhiteCobra
- Type d’acteur
- Criminel
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Koi Security a relié un groupe qu'il a baptisé WhiteCobra à 24 extensions malveillantes dont le script de seconde étape téléchargeait LummaStealer ou une charge macOS ; le développeur Ethereum Zak Cole a perdu son portefeuille à cause d'une fausse extension Solidity pour Cursor.
Impact: 24 extensions visant les utilisateurs de VS Code, Cursor et Windsurf ; au moins deux vols de portefeuilles confirmés dont un d'environ 500 000 dollars ; vol d'identifiants et de données de messagerie par infostealer
Qui l’a déclenché
Acteur: WhiteCobra
Attribution: Nommé par Koi Security d'après un manuel opérationnel fuité ; relié au vol d'environ 500 000 dollars via une extension Cursor en juillet 2025
Mobile: Vol de cryptomonnaies avec des objectifs de revenus par campagne de 10 000 à 500 000 dollars
Comment c’est arrivé
Vecteur d’attaque: Extensions sosies sur Open VSX (16) et le Visual Studio Marketplace (8) aux téléchargements gonflés ; prompt.js télécharge des charges propres à chaque plateforme depuis Cloudflare Pages
Cause racine: L'écosystème VSIX partagé permet aux extensions malveillantes d'atteindre les éditeurs IA via Open VSX avec un contrôle minimal ; de nouvelles versions remplacent celles retirées en quelques heures
Chronologie
- Une fausse extension Solidity mène à un vol de 500 000 dollars sur lequel enquête Kaspersky
- Zak Cole signale son portefeuille vidé après l'installation d'une fausse extension Solidity à 54 000 téléchargements sur Open VSX
- Koi Security publie l'analyse WhiteCobra ; campagne toujours active
Réponse
Les marketplaces ont retiré les extensions signalées mais l'acteur a continué de republier ; Koi conseille d'examiner les nouvelles extensions aux pics de téléchargement soudains
Statut actuel: En cours
Sources (nouvel onglet)
- BleepingComputer bleepingcomputer.com
- Kaspersky kaspersky.com
Citer ce dossier
WhiteCobra inonde Open VSX et le VS Code Marketplace de 24 extensions voleuses de cryptos. AI Threat Watch, dossier whitecobra-vsix-crypto-stealers, 13 sept. 2025. https://aithreat.io/fr/cases/whitecobra-vsix-crypto-stealers/
Lien permanent: https://aithreat.io/fr/cases/whitecobra-vsix-crypto-stealers/