77 Ekstensi Berbahaya di Open VSX Ketahuan Mengumpulkan Informasi Developer Secara Diam-Diam

Sebanyak 77 ekstensi berbahaya ditemukan di marketplace Open VSX setelah diketahui menyamar sebagai alat pengembangan (developer tools) yang sah, namun diam-diam mengumpulkan informasi mengenai sistem dan lingkungan pengembangan (development environment) pengguna.

Kampanye yang dijuluki sebagai “evil twin” ini ditemukan oleh peneliti keamanan siber yang memantau aktivitas mencurigakan di Open VSX selama periode 26 Juli hingga 1 Agustus 2026. Seluruh ekstensi tersebut diketahui memiliki keterkaitan karena menggunakan domain eksfiltrasi data yang sama serta memperlihatkan pola kode dan komunikasi jaringan yang identik.

Menyamar Sebagai Ekstensi Populer

Konsep evil twin extension mengacu pada paket palsu yang meniru identitas ekstensi asli agar pengguna tertipu dan menginstalnya.

Dalam kampanye ini, pelaku menyalin nama, namespace, hingga deskripsi dari ekstensi Open VSX yang sah, namun menerbitkannya melalui akun yang sama sekali tidak berhubungan dengan pengembang aslinya.

Mayoritas paket menggunakan nomor versi 0.0.1, sementara file utama extension.js telah diganti dengan kode berbahaya yang bertugas mengumpulkan dan mengirimkan data ke server milik pelaku.

Alih-alih menyediakan fungsi yang dijanjikan pada deskripsinya, ekstensi tersebut hanya menampilkan indikator bahwa ekstensi telah aktif sebelum mulai mengirimkan informasi dari perangkat korban.

Beberapa ekstensi palsu bahkan menyamar sebagai plugin yang berkaitan dengan berbagai teknologi dan organisasi ternama, termasuk:

• AMD
• Microsoft Azure
• Salesforce
• Hyperledger
• LEGO Education
• IOTA
• Namespace milik salah satu lembaga pemerintah Amerika Serikat

Seluruh Ekstensi Menggunakan Infrastruktur yang Sama

Investigasi menemukan bahwa seluruh 77 ekstensi berkomunikasi dengan domain mangorbit[.]com, yang baru didaftarkan pada 15 Juli 2026, sekitar sebelas hari sebelum ekstensi pertama dipublikasikan.

Sebagian besar sampel mengirim data ke subdomain:

• pulse.mangorbit[.]com
• pulse2.mangorbit[.]com

Sementara sebagian lainnya menggunakan:

• api.mangorbit[.]com
• Berbagai subdomain acak di bawah cb.mangorbit[.]com

Setiap ekstensi memiliki identifier unik sehingga operator dapat mengetahui ekstensi palsu mana yang berhasil dipasang oleh korban.

Sebagian Hanya Mengambil Informasi Dasar

Dari total 77 ekstensi tersebut, sebanyak 58 ekstensi hanya mengumpulkan informasi dasar seperti:

• Hostname perangkat
• Nama folder workspace
• Versi editor yang digunakan

Meski terlihat sederhana, data tersebut tetap dapat dimanfaatkan untuk melakukan pemetaan terhadap lingkungan pengembangan suatu organisasi.

19 Ekstensi Lain Mengumpulkan Informasi Jauh Lebih Lengkap

Sebanyak 19 ekstensi lainnya memiliki kemampuan pengintaian (reconnaissance) yang jauh lebih luas. Sekitar empat hingga lima detik setelah diaktifkan, ekstensi mulai mengumpulkan berbagai informasi, antara lain:

• Username sistem operasi
• Hostname perangkat
• Machine identifier
• Nama dan versi editor
• Arsitektur platform
• Bahasa (locale)
• Timezone
• Nama workspace
• Lokasi lengkap workspace pada sistem file

Selain itu, malware juga memeriksa isi direktori .git untuk memperoleh berbagai metadata Git, termasuk:

• Remote repository
• Organisasi Git
• Domain email developer
• Branch aktif
• Hash commit HEAD

Ekstensi juga melakukan enumerasi hingga 60 ekstensi lain yang terpasang pada editor.

Menargetkan Metadata CI/CD dan Cloud Development

Selain metadata Git, malware turut mengumpulkan informasi dari berbagai platform Continuous Integration (CI) dan cloud development, di antaranya:

• GitHub
• GitLab
• Azure DevOps
• Buildkite
• CircleCI
• GitHub Codespaces
• Gitpod

Walaupun tidak ditemukan adanya pencurian source code, token autentikasi, kredensial, SSH key, maupun data browser, metadata yang berhasil dikumpulkan sudah cukup untuk membangun profil mengenai organisasi, proyek, hingga infrastruktur pengembangan yang digunakan oleh korban.

Mengakui Mengumpulkan Data, Tetapi Tidak Transparan

Hal yang cukup unik dari kampanye ini adalah seluruh halaman ekstensi di Open VSX memang menyatakan bahwa mereka mengumpulkan anonymous usage metrics serta mengklaim tidak mengakses source code maupun kredensial pengguna.

Namun, hasil analisis menunjukkan bahwa data yang dikirim jauh lebih banyak daripada yang diungkapkan. Beberapa ekstensi bahkan turut mengirim informasi mengenai lingkungan CI/CD yang berpotensi membocorkan nama maupun struktur repository privat.

Sebagian varian juga memeriksa apakah ekstensi dipasang secara manual atau otomatis melalui konfigurasi proyek.

Dapat Terus Mengirim Data Hingga Tujuh Hari

Beberapa sampel dirancang agar tetap mencoba mengirim data selama hingga tujuh hari apabila server tujuan tidak dapat dihubungi.

Selain memiliki beberapa endpoint cadangan, malware juga mampu mengambil alamat server baru melalui DNS TXT record, sehingga komunikasi dapat tetap berlangsung meskipun domain utama diblokir.

Seluruh Paket Sudah Dihapus dari Open VSX

Seluruh 77 ekstensi tersebut telah dihapus dari marketplace Open VSX pada 3 Agustus 2026. Meski demikian, ekstensi yang sudah terlanjur dipasang tidak akan terhapus secara otomatis dari komputer pengguna.

Administrator dan developer disarankan untuk memeriksa daftar ekstensi yang terinstal beserta file konfigurasi workspace guna memastikan tidak ada ID ekstensi yang termasuk dalam daftar paket berbahaya.

Selain itu, domain mangorbit[.]com beserta seluruh subdomain terkait juga sebaiknya segera diblokir sebagai langkah mitigasi.

Sumber: Manifold Security