Yeeth Security beschreibt einen klaren Entwicklungsverlauf der Schadfunktion. Frühere Ausgaben der Erweiterung kontaktierten demnach Endpunkte bei Cloudflare Workers, um eine verschlüsselte Python-Nutzlast abzurufen und lokal auszuführen. Spätere Versionen ab 3.0.0 setzen laut den Forschern dagegen auf eine umfassende Informationsdiebstahl-Komponente, die gezielt Browser-Profile, Krypto-Wallets, Quellcodeverwaltungs-Tokens, API-Schlüssel, SSH-Schlüssel und Telegram-Bot-Tokens sammelt.
Die Exfiltration erfolgt nach Angaben von Yeeth Security über einen Telegram-Bot. Die Forscher weisen zudem darauf hin, dass die Malware so ausgelegt sei, Überprüfungen auf Marktplätzen, statische Analysen und einfache Sandbox-Tests zu umgehen. Dazu nutze sie eine starke Verschleierung, zwischenzeitlich unauffällige Versionen zum Vertrauensaufbau sowie eine zufällige verzögerte Aktivierung, durch die der schädliche Code erst mehrere Stunden oder Tage nach der Installation ausgeführt werde.
Yeeth Security formuliert das so: „Bis der schädliche Zweig ausgeführt wird, hat der Nutzer die Erweiterung bereits als nützlich eingestuft, und automatisierte Scanner, die das Paket nur einige Minuten beobachten, sind längst weitergezogen.“ Weiter heißt es: „Die Verschleierung ist nicht bloß Beiwerk; sie zerlegt Zeichenketten über IIFE-Tabellen, setzt sie erst zur Laufzeit wieder zusammen und wechselt Methodennamen zwischen den Veröffentlichungen, sodass signaturbasierte Erkennung einem beweglichen Ziel folgen muss.“
Nach Einschätzung des Unternehmens folgt die Aktivität demselben übergeordneten Muster wie WhiteCobra. Dieser Bedrohungscluster war im September 2025 dabei beobachtet worden, Lumma Stealer über bösartige VS-Code-Erweiterungen zu verbreiten.
Yeeth Security verweist außerdem auf einen weiteren Fall aus demselben Umfeld. Im Juni 2026 meldeten die Forscher eine Erweiterung namens „ethdevtools.solidity-language-support“, die sich als Werkzeug zur Solidity-Sprachunterstützung für Ethereum-Entwickler ausgab. Tatsächlich enthielt sie jedoch einen Clipboard-Stealer mit verzögerter Aktivierung, der BIP-39-Seed-Phrasen, private Ethereum-Schlüssel und Wallet-Adressen abgreifen sollte.
Zu dieser Technik erklärte Yeeth Security: „Wenn sich eine bekannte Krypto-Adresse in der Zwischenablage befindet, ersetzt die Erweiterung den eingefügten Wert durch eine vom Angreifer kontrollierte Adresse.“ Und weiter: „Der Austausch erfolgt über vscode.env.clipboard.writeText, also einen Aufruf einer Erstanbieter-API, der weder child_process noch Netzwerkzugriff oder Dateischreibvorgänge benötigt. Statische Scanner, die nur nach gefährlichen Node-Importen suchen, erkennen das nicht.“
Die aktuellen Erkenntnisse fallen laut dem Quelltext außerdem mit der Entdeckung mehrerer weiterer betrügerischer VS-Code-Erweiterungen und npm-Pakete zusammen. Nutzern, die die betroffenen Erweiterungen installiert haben, wird geraten, sie zu entfernen, Abhängigkeitsgraphen zu prüfen, bekannte Command-and-Control-Domains zu blockieren und die Nutzung von cscript, mshta, cmd, curl und powershell zu überwachen.