Des chercheurs en cybersécurité ont mis en garde contre une extension pour Microsoft Visual Studio Code (VS Code) baptisée Solidity Pro VS Code (solidity-pro). D’après leurs observations, cet add-on malveillant ne se contente pas d’apparaître dans l’écosystème : il a été vu en train de livrer un voleur de portefeuille et de credentials, puis d’exfiltrer les informations collectées.
L’alerte vise plusieurs variantes de l’extension, notamment helper-beeps.solidity-pro et web3devtoolsx.solidity-pro. Même si ces noms ne semblaient plus disponibles sur Open VSX au moment de l’analyse, le dépôt GitHub associé restait accessible. Cela rappelle qu’un simple retrait d’une plateforme ne suffit pas toujours à neutraliser une menace.
Comment Solidity Pro VS Code a évolué
Les premières versions étudiées (de 1.0.0 à v2.4.x) avaient un mode opératoire relativement ciblé : elles entraient en contact avec des endpoints Cloudflare Workers afin de récupérer un contenu Python chiffré, puis de l’exécuter.
Les versions plus récentes, à partir de v3.0.0, changent nettement de posture. Elles se transforment en information stealer complet, capable de récolter des données très variées sur le poste de la victime et dans ses applications.
Les données visées par le voleur
La liste des éléments collectés, d’après Yeeth Security, couvre des jetons d’authentification, des clés de services cloud, des identifiants de messagerie et des éléments liés aux portefeuilles crypto. Le but : augmenter les chances de monétisation, que ce soit par prise de contrôle d’accès ou par compromission de fonds.
- Jetons GitHub (ghp_ et github_pat_)
- Jetons GitLab (glpat-)
- Clés AWS et tokens de session
- Jetons Cloudflare (cfat_)
- Clés OpenAI (sk-, sk-proj-, sk-ant-)
- Jetons de bot Telegram
- Mnemonic et seed phrases (mots de passe de récupération)
- Vultes de portefeuilles : MetaMask, Phantom, Rabby, Coinbase, Trust, Keplr
- Bitcoin (WIF / xprv)
- Clés privées SSH (contenu de type PRIVATE KEY)
- Identifiants d’URL et tokens MFA 1Password
Autrement dit, l’extension ne vise pas uniquement la cryptomonnaie. Elle cherche aussi des accès à des plateformes et services courants : dépôts, clouds, outils d’IA, coffres d’identifiants et messagerie.
Exfiltration via un bot Telegram
Une fois les données collectées, l’extension ne les conserve pas localement. Elles sont exfiltrées via un flux piloté par un bot Telegram : l’attaquant s’appuie sur une interaction de type upload pour transférer les informations vers l’infrastructure de commande.
Ce choix n’est pas anodin. Telegram peut servir de canal discret, et l’activité peut paraître moins suspecte qu’un envoi direct vers un domaine classique. Dans le même temps, le fait d’intégrer des jetons et des tokens renforce l’ampleur potentielle du vol.
Obfuscation, contournement des contrôles et activation différée
Selon Yeeth Security, Solidity Pro VS Code est conçue pour échapper à plusieurs formes de détection. Les chercheurs indiquent que la menace utilise une obfuscation importante : les chaînes sont fractionnées, reconstruites à l’exécution et les noms de méthodes varient d’une version à l’autre.
Résultat : une analyse statique “rapide” ou un scanner qui s’appuie sur des signatures fixes peut passer à côté. En plus, l’activation ne se déclenche pas forcément immédiatement. L’extension peut démarrer son activité malveillante après plusieurs heures ou plusieurs jours selon le cas.
Ce décalage temporel a un impact direct sur l’efficacité des contrôles automatisés courts : si un outil n’observe le paquet que quelques minutes, il risque de ne rien relever pendant la fenêtre d’analyse. Les chercheurs résument l’idée ainsi : quand le branchement malveillant s’exécute, l’utilisateur a souvent déjà jugé l’extension “utile”.
Un schéma proche d’autres campagnes
Yeeth Security signale que ce modus operandi se rapproche d’un autre cluster d’attaques, WhiteCobra, détecté en septembre 2025. Là aussi, l’objectif est d’exploiter l’écosystème via des extensions VS Code malveillantes menant à un Lumma Stealer.
Le message principal : l’écosystème de développement open source, et en particulier les outils de type extensions, reste une surface d’attaque privilégiée. Les attaquants jouent sur le mélange entre code de façade et comportements différés.
Autres extensions frauduleuses dans l’écosystème
L’alerte ne s’arrête pas à Solidity Pro. Les chercheurs rappellent qu’il ne s’agit pas d’un épisode isolé : en juin 2026, une extension nommée ethdevtools.solidity-language-support a été signalée. Son but était d’imiter un outil d’assistance autour du langage Solidity, tout en embarquant un clipboard stealer à activation différée.
Dans ce scénario, quand une adresse crypto “reconnue” est détectée sur le presse-papiers, elle peut être remplacée par une adresse contrôlée par l’attaquant. Le mécanisme cité passe par un appel API côté éditeur : vscode.env.clipboard.writeText. L’intérêt pour les défenseurs : les méthodes employées peuvent ne pas dépendre de librairies Node typées comme dangereuses, ce qui complique la détection par analyse de dépendances.
Les chercheurs mentionnent également d’autres menaces autour de packages npm et de séries d’extensions fournissant des “dropper” (BAT, JavaScript, HTA). Certains d’entre eux incluent des dépendances npm avec des hooks postinstall destinés à télécharger et exécuter un payload distant.
Que faire si vous avez installé Solidity Pro VS Code
Si vous utilisez VS Code pour vos projets, il est utile d’adopter une hygiène stricte autour des extensions. D’après les recommandations de Yeeth Security, les utilisateurs ayant installé ces extensions doivent agir rapidement.
- Supprimer les extensions suspectes de l’éditeur.
- Vérifier les graphes de dépendances (pour repérer d’éventuelles chaînes de chargement).
- Bloquer les domaines connus associés au command-and-control (C2).
- Surveiller l’exécution de commandes sensibles : cscript, mshta, cmd, curl, powershell.
En complément, si votre environnement a manipulé des portefeuilles ou des jetons, pensez à considérer une procédure de rotation des secrets concernés (clés d’API, jetons d’accès, éléments de récupération). La présence de phrases mnémoniques, de seed phrases et de clés privées dans la liste des cibles augmente le risque de compromission durable.
Bonnes pratiques pour limiter le risque d’extensions
Pour réduire la probabilité d’être touché par des extensions malveillantes du type Solidity Pro VS Code, adoptez des habitudes simples :
- Installez les extensions uniquement lorsque c’est nécessaire, et privilégiez des développeurs reconnus.
- Contrôlez les permissions et la provenance : un nom crédible ne garantit pas le contenu.
- Évitez de renouveler des jetons ou de coller des secrets dans des contextes non maîtrisés.
- Mettez en place une surveillance de processus et de connexions réseau, notamment lors de l’installation d’extensions.
Ces mesures n’éliminent pas tous les risques, mais elles rendent plus difficile la mise en place d’une exfiltration discrète et retardée.
Conclusion
Le cas de Solidity Pro VS Code illustre comment une extension peut combiner plusieurs techniques : obfuscation, collecte d’un large éventail de données sensibles, puis exfiltration via un canal externe comme Telegram, le tout avec une activation différée visant à contourner des analyses rapides.
La meilleure défense reste la vigilance : supprimez les extensions suspectes, inspectez vos dépendances et surveillez les comportements anormaux. Et si des portefeuilles ou des identifiants ont pu être exposés, planifiez une rotation des secrets dès que possible.
Source: https://thehackernews.com/2026/08/solidity-pro-vs-code-extensions-steal.html
