D’après les analyses de Bitdefender, cette extension se fait passer pour un outil de support du langage R en imitant une extension légitime. Elle permet le déploiement d’un malware de type vol de données et une fois installée, l’attaque repose sur un mécanisme en plusieurs étapes utilisant NodeJS. Le code malveillant, chiffré et dissimulé, n’est activé qu’après installation afin d’échapper aux solutions de détection traditionnelles. Les charges utiles ne sont pas hébergées sur des infrastructures classiques, mais récupérées via la blockchain Solana, ce qui complique significativement leur blocage et leur démantèlement.
Le malware cible spécifiquement les environnements de développement et vise l’exfiltration de données sensibles issues des navigateurs basés sur Chromium, notamment les mots de passe enregistrés, les cookies de session et d’autres informations d’authentification. Pour assurer sa persistance, la menace créer une tâche planifiée Windows dissimulée, exécutée via PowerShell, lui permettant de se relancer automatiquement avec des privilèges élevés, y compris après redémarrage du système. Les chercheurs indiquent également que le malware intègre un mécanisme d’exclusion géographique, interrompant son exécution sur les systèmes configurés en Russie.
Cette campagne met en évidence une tendance croissante consistant à compromettre des outils de développement légitimes afin de cibler des profils à forte valeur, tels que les développeurs disposant d’accès privilégiés et de clés sensibles. Face à ce type de menace, une vigilance accrue est recommandée lors de l’installation d’extensions, même au sein d’environnements de développement reconnus.
