<div id="post_message_802541">

К специалистам «Лаборатории Касперского» <a href="https://securelist.ru/open-source-package-for-cursor-ai-turned-into-a-crypto-heist/113003/" target="_blank">обратился </a>российский блокчейн-разработчик, у которого похитили криптовалюту на сумму около 500 000 долларов. Оказалось, что пользователь установил на свой компьютер зараженный пакет из Open VSX.<br/>
<br/>
В отчете исследователи отмечают, что их удивил тот факт, что операционная система жертвы была установлена всего за несколько дней до инцидента. На зараженное устройство были загружены лишь самые необходимые и популярные программы. Пострадавший не понаслышке знал о киберрисках, которые возникают в ходе операций с криптовалютами, и проявлял бдительность, тщательно проверяя каждое свое действие.<br/>
<br/>
Во время анализа хранящихся на диске жертвы файлов внимание экспертов привлек файл с именем extension.js. Код из этого файла запрашивал с веб-сервера angelic[.]su PowerShell-скрипт и запускал его.<br/>
<br/>
Оказалось, что extension.js представляет собой компонент расширения Solidity Language для среды разработки Cursor AI, которая основана на Visual Studio Code и предназначена для разработки кода с использованием ИИ.<br/>
<br/>
Расширение содержалось в хранилище Open VSX, используемом средой Cursor AI. Оно было опубликовано около двух месяцев назад и на момент исследования было загружено 54 000 раз (хотя аналитики полагают, что число загрузок было искусственно увеличено). Согласно описанию, пакет якобы предлагает множество функций для оптимизации работы с кодом на языке для смарт-контрактов Solidity, в частности подсветку синтаксиса.<br/>
<br/>
<img alt="" border="0" class="bbCodeImage" src="https://xakep.ru/wp-content/uploads/2025/07/536281/open-source-package2.jpg"/><br/>
<br/>
Изучив код всех версий этого расширения, эксперты пришли к выводу, что это фальшивка: ни подсветка синтаксиса, ни другие заявленные возможности не были реализованы ни в одной из версий.<br/>
<br/>
Расширение не имело никакого отношения к смарт-контрактам и только скачивало и запускало вредоносный код с упомянутого выше веб-сервера. Кроме того, выяснилось, что описание вредоносного плагина было скопировано со <a href="https://open-vsx.org/extension/juanblanco/solidity" target="_blank">страницы легитимного расширения</a>, которое скачали 61 000 раз.<br/>
<br/>
Пытаясь понять, как пострадавший попался на удочку злоумышленников, исследователи обнаружили, что он вводил в поисковую строку хранилища расширений запрос «solidity». По нему в выдачу попадали следующие результаты.<br/>
<br/>
<img alt="" border="0" class="bbCodeImage" src="https://xakep.ru/wp-content/uploads/2025/07/536281/open-source-package3.jpg"/><br/>
<br/>
То есть вредоносное расширение расположилось на четвертом месте, а легитимное — лишь на восьмом. В результате разработчик кликнул на первое по порядку расширение с достаточно внушительным количеством скачиваний. И именно оно оказалось вредоносным.<br/>
<br/>
Дело в том, что Open VSX ранжирует результаты поиска в соответствии с метрикой релевантности. При подсчете этой метрики <a href="https://github.com/eclipse/openvsx/blob/master/server/src/main/java/org/eclipse/openvsx/search/RelevanceService.java" target="_blank">учитывается множество факторов</a>, включая рейтинг расширения, его новизну, количество загрузок, наличие верификации. В результате ранжирование происходит на основе совокупности факторов: например, расширение с небольшим количеством скачиваний может оказаться в топе поисковой выдачи, если этот параметр компенсируется новизной.<br/>
<br/>
Именно это произошло в случае с вредоносным плагином: дата последнего обновления поддельного расширения — 15 июня 2025 года, а легитимного — 30 мая 2025 года. В итоге совокупность факторов сделала вредоносное расширение более релевантным, что позволило злоумышленникам продвинуть подделку в результатах поиска.<br/>
<br/>
Установив вредоносное расширение, жертва не получила желаемую функциональность, так как синтаксис кода на Solidity остался без подсветки. Однако разработчик принял этот факт за баг, отложив его анализ на потом, и продолжил работу.<br/>
<br/>
Как показало дальнейшее изучение малвари, вместе с поддельным расширением на машину пострадавшего проникла вредоносная сборка ScreenConnect. С ее помощью злоумышленники получали удаленный доступ к устройству. Затем они заразили машину опенсорсным бэкдором Quasar и стилером, который собирает данные из браузеров, почтовых клиентов и криптокошельков. В результате атакующие смогли получить доступ к криптокошелькам жертвы и вывели из них активы.<br/>
<br/>
Хотя вредоносный пакет был удален из магазина расширений 2 июля 2025 года (к этому времени его обнаружили и<a href="https://secureannex.com/blog/these-vibes-are-off/" target="_blank"> другие исследователи</a>), злоумышленники продолжили атаки.<br/>
<br/>
По словам экспертов, уже на следующий день хакеры опубликовали другой вредоносный пакет с названием solidity, на этот раз полностью повторяя название исходного легитимного расширения. Функциональность подделки не изменилась: плагин скачивал вредоносный PowerShell-скрипт на устройство жертвы.<br/>
<br/>
Однако на этот раз атакующие решили накрутить гораздо более внушительное количество загрузок (новое расширение скачали якобы около 2 млн раз). До недавнего времени, пока этот плагин не был удален, по запросу «solidity» в среде разработки Cursor AI отображались следующие результаты.<br/>
<br/>
<img alt="" border="0" class="bbCodeImage" src="https://xakep.ru/wp-content/uploads/2025/07/536281/open-source-package6.jpg"/><br/>
<br/>
На этот раз легитимное и вредоносное расширение расположились на соседних позициях поисковой выдачи: на 7-м и 8-м местах. При этом имена разработчиков казались идентичными, хотя легитимный пакет загрузил пользователь juanblanco, а вредоносный — juanbIanco: в шрифте, используемом в Cursor AI, буквы l и I выглядят одинаково.<br/>
<br/>
Таким образом, в поисковой выдаче оказались два, на первый взгляд, одинаковых расширения: легитимное с 61 000 загрузок и вредоносное с 2 млн. Исследователи отмечают, что сделать правильный выбор в таком случае довольно трудно.<br/>
<br/>
Также в отчете отмечается, что предположительно те же злоумышленники опубликовали не только вредоносные расширения Solidity, но и npm-пакет solsafe, который тоже загружал вредоносную сборку ПО ScreenConnect. Несколькими месяцами ранее они же опубликовали три дополнительных вредоносных расширения для среды разработки Visual Studio Code (solaibot, among-eth и blankebesxstnion), которые на данный момент уже удалены.<br/>
<br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">
<font size="3">«Отличать скомпрометированные opensource-пакеты становится все сложнее. Злоумышленники используют хитроумные тактики. В ловушку попадаются даже продвинутые пользователи, которые хорошо осведомлены о возможных рисках кибербезопасности, особенно те, кто работают в области блокчейн-разработки. Мы ожидаем, что атаки на криптовладельцев продолжатся, поэтому рекомендуем не пренебрегать специальными решениями для обеспечения безопасности конфиденциальных данных и предотвращения финансовых потерь», — комментирует Георгий Кучерин, эксперт Kaspersky GReAT.</font>
</td>
</tr>
</table>
</div><a href="https://xakep.ru/2025/07/11/fake-solidity-language/" target="_blank">@ xakep.ru</a>
</div>