Una popular extensión de editor de código listada en el registro Open VSX fue descubierta conteniendo malware oculto que descarga y ejecuta de forma silenciosa un troyano de acceso remoto (RAT) y un infostealer completo directamente en las máquinas de los desarrolladores sin ninguna señal de advertencia visible. La extensión, conocida como fast-draft bajo la cuenta del editor KhangNghiem, había acumulado más de 26,000 descargas antes de que se detectara la actividad maliciosa incrustada

Una popular extensión de editor de código listada en el registro Open VSX fue descubierta conteniendo malware oculto que silenciosamente descarga y ejecuta un troyano de acceso remoto (RAT) y un infostealer completo directamente en las máquinas de los desarrolladores sin ninguna señal de advertencia visible.

La extensión, conocida como fast-draft bajo la cuenta de editor KhangNghiem, había acumulado más de 26.000 descargas antes de que la actividad maliciosa incrustada en varias versiones específicas saliera a la luz.

El ataque se desarrolló siguiendo un patrón deliberado distribuido en versiones específicas. Las versiones 0.10.89, 0.10.105, 0.10.106 y 0.10.112 contenían código que se conectaba a un repositorio de GitHub controlado por un actor de amenazas llamado BlokTrooper.

La extensión descargaba scripts de shell específicos para cada plataforma directamente desde raw.githubusercontent[.]com/BlokTrooper/extension y canalizaba toda la respuesta directamente a un shell del sistema, que luego descargaba y ejecutaba una carga maliciosa de segunda etapa en la máquina de la víctima.

Otras versiones, incluyendo la 0.10.88, 0.10.111 y la última 0.10.135, no mostraban este comportamiento, lo que apunta fuertemente a una cuenta de editor comprometida o un token de lanzamiento robado, en lugar de un mantenedor que se volvió malicioso a propósito.

Analistas de Aikido identificaron la extensión comprometida durante una revisión manual cuidadosa, versión por versión, de la línea de lanzamientos de fast-draft.

El equipo reportó el problema al mantenedor de la extensión el 12 de marzo de 2026 a través de un issue público en GitHub, pero el informe no había recibido respuesta alguna al momento de la publicación.

El impacto de este compromiso es tanto amplio como grave. Cualquier desarrollador que tuviera instalada una de las versiones maliciosas entregó sin saberlo el control total de su máquina al atacante.

La carga de segunda etapa ejecutaba cuatro módulos de ataque independientes simultáneamente, dirigidos a credenciales de navegadores, datos de carteras de criptomonedas, archivos locales, código fuente y contenido del portapapeles, todo al mismo tiempo.

Con más de 26.594 descargas registradas en el registro Open VSX, la posible exposición entre desarrolladores de código abierto y equipos de software en todo el mundo es muy significativa.

El peligro más amplio aquí es cómo el malware se ocultó dentro de una herramienta en la que los desarrolladores ya confiaban a diario. Las extensiones de editores suelen ejecutarse con amplios permisos de sistema, lo que las convierte en un objetivo altamente atractivo para ataques a la cadena de suministro.

El patrón alternante de versiones limpias y maliciosas sugiere fuertemente que alguien con acceso intermitente al pipeline de lanzamiento del editor, un escenario que el escaneo automatizado por sí solo no puede detectar de manera confiable sin una revisión manual exhaustiva y cuidadosa.

Dentro del marco de ataque de segunda etapa

Una vez que el descargador de shell se ejecutaba, extraía un archivo ZIP, lo descomprimía en un directorio temporal y lanzaba cuatro procesos Node.js independientes, cada uno manejando una parte separada del ataque general.

El primer módulo se conectaba de vuelta al servidor de comando y control en 195[.]201[.]104[.]53 a través del puerto 6931 usando Socket.IO, dando al atacante control en vivo sobre el movimiento del ratón, entrada del teclado, capturas de pantalla y lectura del portapapeles.

El segundo módulo barría los perfiles de navegadores como Chrome, Edge, Brave y Opera en Windows, macOS y Linux, robando contraseñas guardadas y datos web.

También apuntaba a 25 extensiones de carteras de criptomonedas, incluyendo MetaMask, Phantom, Coinbase Wallet y Trust Wallet, y subía los datos recopilados al puerto 6936 en el mismo servidor C2.

El tercer módulo escaneaba recursivamente el directorio de inicio en busca de documentos, archivos de entorno, claves privadas, historial de shell y código fuente.

Deliberadamente omitía carpetas como .cursor, .claude y .windsurf, mostrando que el atacante estaba específicamente apuntando a entornos de desarrollo asistidos por IA de alto valor.

El cuarto módulo sondeaba el portapapeles cada pocos segundos y enviaba el contenido capturado —incluyendo frases semilla, claves API y contraseñas— directamente a /api/service/makelog en el servidor C2.

Los desarrolladores deben verificar inmediatamente si tienen instalada alguna versión de fast-draft que coincida con 0.10.89, 0.10.105, 0.10.106 o 0.10.112 y eliminarla sin demora.

Todas las credenciales almacenadas, frases semilla de carteras de criptomonedas y claves API en máquinas afectadas deben ser rotadas de inmediato.

Los equipos de red deben bloquear y monitorear todo el tráfico saliente hacia 195[.]201[.]104[.]53 en los puertos 6931, 6936 y 6939, y marcar cualquier solicitud a raw.githubusercontent[.]com/BlokTrooper en los registros de red.