Los investigadores de ciberseguridad han identificado una extensión maliciosa de Visual Studio Code (VS Code) con capacidades básicas de ransomware que parece haber sido creada con la ayuda de inteligencia artificial, es decir, codificada mediante vibraciones.
John Tuckner, investigador de Secure Annex, quien marcado la extensión» sexo entre hombres y mujeres », dijo que no intenta ocultar su funcionalidad maliciosa. La extensión fue cargada el 5 de noviembre de 2025 por un usuario llamado «suspublisher18» junto con la descripción «Solo estoy probando» y la dirección de correo electrónico «donotsupport @example [.] com».
«Comprima, carga y cifra automáticamente los archivos de C:\Users\Public\testing (Windows) o /tmp/testing (macOS) al iniciarlos por primera vez», dice la descripción de la extensión. A partir del 6 de noviembre, Microsoft ha intervenido para retirar es del mercado oficial de VS Code Extension.
Según los detalles compartidos por «suspublisher18», la extensión está diseñada para activarse automáticamente en cualquier evento, incluida la instalación o el lanzamiento de VS Code, e invocar una función llamada «ZipUploadAndEncrypt», que crea un archivo ZIP de un directorio de destino, lo filtra a un servidor remoto y reemplaza los archivos por sus versiones cifradas.
«Afortunadamente, TARGET_DIRECTORY está configurado para ser un directorio provisional de pruebas, por lo que tendría poco impacto en este momento, pero se actualiza fácilmente con una versión de extensión o mediante un comando enviado a través del canal C2 que se describe a continuación», afirma Tuckner.
Además del cifrado, la extensión maliciosa también usa GitHub como comando y control (C2) al sondear un repositorio privado de GitHub para detectar cualquier comando nuevo que se ejecute analizando el archivo "index.html». Los resultados de la ejecución del comando se vuelven a escribir en el mismo repositorio del archivo "requirements.txt" mediante un token de acceso de GitHub incorporado en el código.
La cuenta de GitHub asociada a la repositorio — aykhanmv — sigue activo, y el desarrollador afirma ser de la ciudad de Bakú, Azerbaiyán.
«Los comentarios extraños que detallan la funcionalidad, los archivos README con instrucciones de ejecución y las variables de marcador de posición son señales claras de que se trata de malware 'codificado con vibración'», afirma Tuckner. «El paquete de extensión incluía accidentalmente herramientas de descifrado, código de servidor de comando y control y claves de acceso de GitHub al servidor C2, que otras personas podían usar para apoderarse del C2».
Los paquetes npm troyanizados arrojan Vidar Infostealer
La divulgación se produce como Datadog Security Labs descubierto 17 paquetes npm que se hacen pasar por kits de desarrollo de software (SDK) benignos y proporcionan la funcionalidad anunciada, pero están diseñados para ejecutarse sigilosamente Ladrón de Vidar en sistemas infectados. Este desarrollo marca la primera vez que el ladrón de información se distribuye a través del registro npm.
La empresa de ciberseguridad, que está rastreando el clúster con el nombre MUT-4831, dijo que algunos de los paquetes se marcaron por primera vez el 21 de octubre de 2025, y que las subidas posteriores se registraron al día siguiente y el 26 de octubre. Los nombres de los paquetes, publicados por las cuentas «aartje» y «saliii229911», figuran a continuación:
- abeya-tg-api
- bael-god-admin
- bael-god-api
- bael-dios-gracias
- horquilla para bebé
- cursor-ai-fork
- cursor-app-fork
- API de bots de telegrama personalizada
- plan de bot personalizado
- icon-react-fork
- react-icon-pkg
- sabaoa-tg-api
- sabay-tg-api
- sai-tg-api
- salli-tg-api
- telegram-bot-start
- iniciador de bots de telegrama
Si bien las dos cuentas han sido prohibidas desde entonces, las bibliotecas se descargaron al menos 2.240 veces antes de ser eliminadas. Dicho esto, Datadog señaló que muchas de estas descargas probablemente podrían haber sido el resultado de raspadores automáticos.
La cadena de ataque en sí misma es bastante sencilla: se activa como parte de un script posterior a la instalación especificado en el archivo «package.json» que descarga un archivo ZIP de un servidor externo («dominio en la nube bullethost [.]») y ejecuta el ejecutable de Vidar contenido en el archivo ZIP. Se ha descubierto que los ejemplos de Vidar 2.0 utilizan cuentas de Telegram y Steam codificadas de forma rígida para recuperar el servidor C2 propiamente dicho.
En algunas variantes, se utiliza un script de PowerShell posterior a la instalación, integrado directamente en el archivo package.json, para descargar el archivo ZIP, tras lo cual el control de ejecución se pasa a un archivo JavaScript para completar el resto de los pasos del ataque.
'
«No está claro por qué MUT-4831 eligió variar el script posterior a la instalación de esta manera», dijeron los investigadores de seguridad Tesnim Hamdouni, Ian Kretz y Sebastian Obregoso. «Una posible explicación es que diversificar las implementaciones puede resultar ventajoso para el actor de la amenaza en términos de sobrevivir a la detección».
El descubrimiento es solo otro de una larga lista de ataques a la cadena de suministro dirigidos al ecosistema de código abierto que abarca npm , PyPI, RubyGems , y Abra VSX , por lo que es crucial que los desarrolladores actúen con la debida diligencia, revisen los registros de cambios y estén atentos a técnicas como la ortografía y la confusión de dependencias antes de instalar los paquetes.