Досье whitecobra-vsix-crypto-stealersЦепочка поставок ИИ13 сен. 2025Весь мир

WhiteCobra наводняет Open VSX и VS Code Marketplace 24 расширениями, крадущими криптовалюту

Koi Security связала группировку, названную ею WhiteCobra, с 24 вредоносными расширениями, чей скрипт второй стадии загружал LummaStealer или полезную нагрузку для macOS; Ethereum-разработчик Zak Cole лишился кошелька из-за фальшивого расширения Solidity для Cursor.

ВысокаяАтака на ИИСтатус: ПродолжаетсяПроверенное досье

Открыть на интерактивной карте Цитировать это досье

Дата сообщения: 13 сен. 2025
Локация: Весь мир
Цель: Пользователи VS Code, Cursor и Windsurf
Критичность: Высокая
Инициатор: WhiteCobra
Тип субъекта: Криминальный
Сектор: Технологии и вендоры ИИ
Заявленные убытки: Не заявлены
CVE: Нет

Что произошло

Последствия: 24 расширения, нацеленных на пользователей VS Code, Cursor и Windsurf; как минимум две подтверждённые кражи из кошельков, включая одну примерно на 500 000 долларов; кража учётных данных и данных мессенджеров инфостилером

Кто стоит за инцидентом

Субъект: WhiteCobra

Атрибуция: Название присвоено Koi Security на основе утёкшего плейбука; связана с кражей около 500 000 долларов через расширение Cursor в июле 2025 года

Мотив: Кража криптовалюты с целевыми показателями доходности кампании от 10 000 до 500 000 долларов

Как это произошло

Вектор атаки: Расширения-двойники в Open VSX (16) и Visual Studio Marketplace (8) с накрученными загрузками; prompt.js скачивает платформозависимые полезные нагрузки с Cloudflare Pages

Первопричина: Общая экосистема VSIX позволяет вредоносным расширениям попадать в ИИ-редакторы через Open VSX с минимальной проверкой; новые версии заменяют удалённые в течение нескольких часов

Хронология

июл. 2025Фальшивое расширение Solidity приводит к краже 500 000 долларов, расследуемой Kaspersky
сен. 2025Zak Cole сообщает об опустошении своего кошелька после установки фальшивого расширения Solidity с 54 000 загрузок в Open VSX
13 сен. 2025Koi Security публикует анализ WhiteCobra; кампания всё ещё активна

Реагирование

Маркетплейсы удаляли расширения по жалобам, но злоумышленник продолжал их переиздавать; Koi рекомендовала внимательно проверять новые расширения с резкими всплесками загрузок

Текущий статус: Продолжается

Источники (открываются в новой вкладке)

BleepingComputer bleepingcomputer.com
Kaspersky kaspersky.com

Цитировать это досье

WhiteCobra наводняет Open VSX и VS Code Marketplace 24 расширениями, крадущими криптовалюту. AI Threat Watch, досье whitecobra-vsix-crypto-stealers, 13 сен. 2025. https://aithreat.io/ru/cases/whitecobra-vsix-crypto-stealers/

Постоянная ссылка: https://aithreat.io/ru/cases/whitecobra-vsix-crypto-stealers/