Gói npm và Go bị chiếm dụng dùng VS Code Tasks để triển khai Python infostealer
"Security researchers found hijacked npm packages and a set of malicious Go packages that use hidden VS Code folder-open tasks to execute code and deploy a multi-stage Python infostealer on Windows, Linux, and macOS. The chain abuses blockchain-based dead drops, a socket.io backdoor, and a Python loader to steal browser credentials, wallet data, developer secrets, and cloud tokens; no CVE is mentioned, and affected packages were removed from the registry."
Chuỗi tấn công nhắm vào supply chain và đạt quyền thực thi thông qua VS Code folder-open tasks, sau đó mở socket.io backdoor để thu thập dữ liệu diện rộng. Không nêu CVE, nhưng mức rủi ro cao do đánh cắp credential/wallet và token cloud.
Khả năng ảnh hưởng vận hành gồm gián đoạn do lây nhiễm trên máy phát triển và rò rỉ dữ liệu nhạy cảm. Tác động kinh doanh chủ yếu đến từ mất bí mật (secrets/credentials) và nguy cơ tài khoản cloud & ví tiền mã hoá bị chiếm, kéo theo chi phí xử lý sự cố và tuân thủ.
Các nhà nghiên cứu an ninh đã phát hiện 2 gói npm bị chiếm dụng và một cụm gói Go được thiết kế để triển khai Python-based information stealer trên Windows, Linux và macOS. Chuỗi tấn công lợi dụng cơ chế tự chạy của IDE: payload được ẩn trong một VS Code task có tên "eslint-check", cấu hình "runOn: 'folderOpen'" để thực thi khi người dùng mở thư mục dự án trong VS Code/Cursor và đánh dấu là tin cậy.
Theo phân tích, kẻ tấn công tránh các đường thực thi phổ biến của npm lifecycle scripts, đồng thời nguỵ trang mã độc dưới dạng tệp font (ví dụ public/fonts/fa-solid-400.woff2). Từ đó, malware tải JavaScript được mã hoá bằng cách truy xuất “dead drop” dựa trên blockchain (dùng TronGrid và Aptos làm cơ chế dự phòng), thiết lập hạ tầng C2 và mở socket.io backdoor để điều khiển từ xa.
Giai đoạn Python sau đó thu thập dữ liệu: thông tin trình duyệt, wallet/tiền mã hoá, secrets của nhà phát triển, và token/credential cloud từ nhiều dịch vụ. Dữ liệu được đóng gói ZIP và gửi về C2 (có thể kèm Telegram nếu có bot token). Các gói npm liên quan đã bị gỡ khỏi registry; người dùng được khuyến nghị gỡ bỏ ngay, rà soát tasks.json ẩn, và xoay vòng toàn bộ credential/token/API key.