Manifold Security beschreibt die Pakete als sogenannte „böse Zwillinge“: gefälschte Erweiterungen, die die Identität legitimer Angebote kopieren, um Nutzer zur Installation zu verleiten. In dieser Kampagne übernahmen die Pakete Namen, Namensräume und Beschreibungstexte realer Open-VSX-Erweiterungen. Meist trugen sie die niedrige Versionsnummer 0.0.1, während die eigentliche Datei extension.js der Originale durch Code ersetzt wurde, der in erster Linie Daten sammeln und übertragen sollte.
Nach Angaben von Manifold lieferten die Erweiterungen die in ihren Einträgen versprochene Funktionalität nicht. Stattdessen blendeten sie lediglich einen Hinweis in der Statusleiste oder eine Meldung ein, wonach die Erweiterung aktiv sei, und übermittelten anschließend Daten an die Infrastruktur der Angreifer. Die gefälschten Pakete gaben sich unter anderem als Erweiterungen mit Bezug zu AMD, Azure, Salesforce, Hyperledger, LEGO Education, IOTA und einem Namensraum einer US-Behörde aus.
Alle 77 Erweiterungen kommunizierten mit einem Server unter mangorbit[.]com. Die Domain wurde am 15. Juli 2026 registriert, elf Tage bevor die ersten Pakete erschienen. Die meisten Proben kontaktierten laut Manifold pulse.mangorbit[.]com oder pulse2.mangorbit[.]com, andere nutzten api.mangorbit[.]com oder zufällige Subdomains unter cb.mangorbit[.]com. Jedes Paket enthielt zudem eine eigene Kennung, mit der der Betreiber erkennen konnte, welche gefälschte Erweiterung installiert worden war.
58 der Erweiterungen exfiltrierten vor allem den Hostnamen des Systems; einige Varianten schickten zusätzlich den Namen des Arbeitsverzeichnis-Ordners und die Version des Editors. Die übrigen 19 Erweiterungen gingen laut Manifold deutlich weiter und sammelten etwa vier bis fünf Sekunden nach der Aktivierung unter anderem Betriebssystem-Benutzername und Hostname, Maschinenkennung, Name und Version des Editors, Plattformarchitektur, Gebietsschema, Zeitzone sowie Name und vollständigen Dateisystempfad des im Editor geöffneten Arbeitsbereichs.
Hinzu kamen Abfragen innerhalb des .git-Verzeichnisses des Arbeitsbereichs. So ermittelten die Erweiterungen Git-Remote-Hosts und Organisationen, die Domain der konfigurierten Entwickler-E-Mail, den aktuellen Branch und den HEAD-Commit-Hash. Außerdem listeten sie bis zu 60 installierte Erweiterungen auf und sammelten Kennungen aus CI- und Cloud-Entwicklungsumgebungen, darunter GitHub, GitLab, Azure DevOps, Buildkite, CircleCI, GitHub Codespaces und Gitpod.
Auffällig ist laut Manifold, dass die Open-VSX-Einträge offenlegten, sie würden „anonyme Nutzungsmetriken“ erfassen, und zutreffend angaben, weder Quellcode noch Zugangsdaten abzurufen. Tatsächlich übermittelten die Erweiterungen nach Einschätzung der Forscher aber mehr Daten als angegeben, darunter auch CI-Informationen, die private Repository-Namen oder Pfade offenlegen könnten. Einige Varianten prüften zudem, ob sie manuell oder automatisch über eine Projektkonfiguration installiert worden waren.
Manche Varianten waren darauf ausgelegt, die Übertragung der gesammelten Daten bis zu sieben Tage lang immer wieder zu versuchen. Sie unterstützten mehrere Endpunkte für die Erfassung und konnten per DNS-TXT-Eintrag eine Ersatz-URL abfragen, falls die fest eingebrannte Infrastruktur nicht mehr antwortete.
Manifold nahm keine Zuordnung der Kampagne zu einem Akteur vor und wollte auch über die Absicht der Betreiber nicht spekulieren. Die 19 stärker auf Aufklärung ausgerichteten Erweiterungen sammelten jedoch genug Metadaten, um Organisationen, Entwicklungsumgebungen und private Repositories zu profilieren. Open VSX entfernte die Pakete bis zum 3. August 2026 von der Plattform. Von Entwickler-Systemen und aus Anwendungen müssen sie laut Manifold aber weiterhin manuell entfernt werden. Das Unternehmen empfiehlt außerdem, Systeme und Konfigurationsdateien von Arbeitsbereichen auf die in seinem Bericht genannten Erweiterungs-IDs zu prüfen und die Domain mangorbit[.]com zu blockieren.