A equipe Open VSX e a Eclipse Foundation resolveram um incidente de segurança significativo envolvendo tokens de autenticação vazados e extensões maliciosas em seu popular mercado de código.
A organização já conteve a situação e delineou medidas concretas para prevenir futuros ataques.
No início deste mês, pesquisadores de segurança da Wiz identificaram vários tokens de desenvolvedor que foram expostos acidentalmente em repositórios públicos.
Esses tokens, que permitem aos desenvolvedores publicar e modificar extensões, pertenciam a contas no Open VSX Registry, um mercado voltado para a comunidade para Extensões de código VS usado por desenvolvedores em todo o mundo.
Após investigação, a equipe do Open VSX confirmou que alguns desses tokens vazados foram de fato comprometidos e usados de forma maliciosa.
No entanto, a organização enfatizou que a exposição resultou de erros do desenvolvedor, e não de qualquer violação da infraestrutura própria do Open VSX. A equipe revogou imediatamente todos os tokens afetados para evitar novos usos indevidos.
Para fortalecer os recursos de detecção no futuro, o Open VSX colaborou com o Security Response Center (MSRC) da Microsoft para introduzir um formato especial de prefixo de token.
Este novo formato torna significativamente mais fácil verificar repositórios públicos e identificar tokens expostos antes que os invasores possam explorá-los.
A campanha de malware
Na mesma época, a empresa de segurança Koi Security relatou um campanha de malware apelidado de “GlassWorm”, que explorou alguns desses tokens expostos para publicar extensões maliciosas.
As extensões foram projetadas para roubar credenciais de desenvolvedores, permitindo que invasores expandissem seu alcance em todo o ecossistema.
Embora os relatórios iniciais descrevessem isso como um “worm de autopropagação”, o Open VSX esclareceu que o malware não se replicava de forma autônoma.
Em vez disso, baseou-se no roubo de credenciais para facilitar novos ataques. A organização também observou que os números de downloads relatados de 35.800 provavelmente exageram o impacto real, pois incluem downloads artificiais gerados por bots e táticas de manipulação usadas pelos atores da ameaça.
A equipe do Open VSX agiu rapidamente, removendo todas as extensões maliciosas conhecidas da plataforma e revogando os tokens associados imediatamente após a notificação.
Em 21 de outubro de 2025, a organização considera o incidente totalmente contido, sem nenhuma evidência de comprometimento contínuo ou conteúdo malicioso remanescente.
Este incidente destacado a importância da segurança da cadeia de abastecimento em ecossistemas de código aberto. A Open VSX está implementando diversas melhorias importantes para fortalecer a segurança da plataforma.
Os períodos de validade dos tokens serão reduzidos por padrão, reduzindo a janela de oportunidade caso os tokens vazem.
A organização também está simplificando os procedimentos de revogação de tokens e adicionando verificação de segurança automatizada no momento da publicação para detectar padrões de códigos maliciosos antes que as extensões cheguem aos usuários.
Além disso, a Open VSX está expandindo a colaboração com outras operadoras de mercado para compartilhar inteligência sobre ameaças e melhores práticas de segurança em todo o ecossistema.
A organização enfatizou que a segurança da cadeia de abastecimento é uma responsabilidade compartilhada entre desenvolvedores, mantenedores de registros e a comunidade em geral.
A Open VSX continua comprometida em manter a transparência e construir um ambiente de código aberto mais resiliente, onde a inovação possa continuar com segurança.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial em Google.