Nach Angaben von Manifold Security bestanden 58 der identifizierten Erweiterungen aus vergleichsweise einfachen Werkzeugen, die den Hostnamen und teils zusätzlich den Namen des Arbeitsverzeichnisses oder die Editor-Version exfiltrierten. Die übrigen 19 Pakete dienten der Aufklärung und sammelten deutlich mehr entwicklerbezogene Informationen, darunter lokalen Hostnamen und Betriebssystem-Benutzernamen, Name und Version des Editors, Host-Typ und Maschinen-ID, Plattform und Architektur, Gebietsschema und Zeitzone sowie Ordnername und vollständigen Dateisystempfad des geöffneten Arbeitsbereichs.
Gemeinsam war allen 77 Erweiterungen dieselbe Domain zur Datenübertragung: „mangorbit[.]com“. Der Quelltext zufolge wurde die Domain am 15. Juli 2026 registriert, also 11 Tage bevor die ersten Pakete veröffentlicht wurden. Zudem stellten die Forscher Ähnlichkeiten im Code und im Verhalten fest. Die Erweiterungen boten keine der in ihren Einträgen versprochenen Funktionen. Stattdessen blendeten sie ein Element in der Statusleiste und eine Meldung ein, dass sie aktiv seien, und starteten anschließend die Datenübertragung.
Der zentrale Eingriff bestand darin, den Inhalt der mitgelieferten Datei „extension.js“ auszutauschen und dort Funktionen zur Datenerfassung und -übertragung unterzubringen. Nach außen wurde diese Sammlung als „anonyme Nutzungsmetriken“ dargestellt. Besonders auffällig war dabei die Methode, echte Erweiterungen zu kopieren: Namen, Namensräume und Beschreibungen stammten von realen Open-VSX-Projekten, veröffentlicht wurden die Klone aber über nicht zugehörige Konten und mit auffallend niedrigen Versionsnummern.
Die zweite Gruppe mit den 19 Reconnaissance-Paketen war laut Analyse robuster ausgelegt. Der Schadcode konnte einen DNS-TXT-Record abfragen, um eine alternative Exfiltrations-URL zu erhalten, falls die primäre Domain blockiert oder abgeschaltet würde. Außerdem verfügte diese Variante über einen Wiederholungsmechanismus. Wie Ax Sharma und Cody Nash erläutern, erfolgten Versuche nach ungefähr 15 Minuten, 50 Minuten und dreieinhalb Stunden, danach alle sieben oder acht Stunden. Das wiederholte sich bei jedem Neustart des Editors und endete erst nach sieben Tagen.
Hinzu kam eine Abfrage, ob die geöffnete Arbeitsumgebung in ihrer eigenen devcontainer.json oder .vscode/extensions.json auf die ID der jeweiligen Erweiterung verweist. Das Ergebnis wurde als einzelnes Kennzeichen übermittelt. Laut den Forschern lässt sich damit unterscheiden, ob eine Installation durch die Konfiguration eines Repositorys ausgelöst wurde oder von einem Menschen bewusst ausgewählt wurde.
Parallel dazu wurde eine weitere Lieferkettenkampagne gegen das npm-Ökosystem bekannt. Dabei wurden 450 eindeutige npm-Pakete mit insgesamt 2.244 Artefakten kompromittiert, um einen Information-Stealer auszuliefern und mit gestohlenen npm-Tokens trojanisierte Versionen weiterer Pakete zu veröffentlichen. Microsoft bezeichnet diese Kampagne als ChainDrop. Den Angaben zufolge enthalten die bösartigen Veröffentlichungen eine Variante von Mini Shai-Hulud, die typischerweise automatisch über einen npm-preinstall-Lebenszyklus-Hook ausgeführt wird, bevor die Paketinstallation abgeschlossen ist.
Microsoft teilte außerdem mit, dass die Schadsoftware gestohlene GitHub-Zugangsdaten nutzen kann, um Konfigurationsdateien für Claude und Visual Studio Code in Repositories einzuschleusen. Socket erklärte, die Probe zeige zusätzlich Techniken, die in früheren Berichten zu Shai-Hulud nicht dokumentiert worden seien, darunter das Nachladen einer eigenständigen Bun-Laufzeitumgebung, einen modularen Dispatcher mit getrennten GitHub- und domänenbasierten Auslieferungskanälen sowie Autostart-Hooks in .claude und .vscode. OX Security wiederum wertet die laufenden Angriffe auf npm als Hinweis darauf, dass Schutzmaßnahmen über das Blockieren von Installationsskripten und Zwei-Faktor-Authentifizierung für Maintainer-Konten hinausgehen müssen.