Onderzoekers hebben een gecompromitteerde versie van de Nx Console-extensie ontdekt die werd aangeboden in de Microsoft Visual Studio Code Marketplace. Het gaat om versie 18.95.0 van rwl.angular-console, een populaire gebruikersinterface en plugin voor code-editors zoals VS Code, Cursor en JetBrains, met meer dan 2,2 miljoen installaties. De Open VSX-versie van de extensie is niet getroffen door dit incident.

Volgens onderzoeker Ashish Kurmi van StepSecurity werd direct na het openen van een workspace een 498 KB grote, geobfusceerde payload opgehaald en uitgevoerd. Deze payload was verborgen in een verweesde commit binnen de officiële nrwl/nx GitHub-repository. Het malwareprogramma is een multi-stage credential stealer en supply chain poisoning tool die ontwikkelaarssecrets verzamelt en via HTTPS, de GitHub API en DNS-tunneling exfiltreert. Daarnaast installeert het een Python-backdoor op macOS-systemen die de GitHub Search API misbruikt om verdere commando’s te ontvangen.

De ontwikkelaars van de extensie melden in een security advisory dat de oorzaak is terug te voeren op een gecompromitteerde machine van een van hun ontwikkelaars, waarbij diens GitHub-credentials waren gelekt. Deze credentials zijn tijdelijk ingetrokken. Met deze toegang werd een ongecontroleerde, niet-ondertekende commit toegevoegd aan de nrwl/nx-repository, die de malware introduceerde. Zodra een ontwikkelaar een workspace opent in VS Code, wordt de Bun JavaScript-runtime geïnstalleerd om de geobfusceerde "index.js" payload uit te voeren.

De malware vermijdt systemen die zich waarschijnlijk in de Russische of CIS-tijdzones bevinden en draait als een losgekoppeld achtergrondproces. Het verzamelt credentials uit 1Password kluizen, Anthropic Claude Code-configuraties en secrets gerelateerd aan npm, GitHub en Amazon Web Services (AWS). Een opvallende functionaliteit is de volledige integratie met Sigstore, inclusief Fulcio-certificaatuitgifte en SLSA-provenancegeneratie. In combinatie met gestolen npm OIDC-tokens kan de aanvaller zo kwaadaardige npm-pakketten publiceren met geldige, cryptografisch ondertekende provenance-attestaties, waardoor deze pakketten als legitiem worden gezien.

De Nx-ontwikkelaars bevestigen dat enkele gebruikers zijn getroffen door deze inbreuk. Zij adviseren gebruikers dringend om te updaten naar versie 18.100.0 of hoger. Daarnaast zijn indicatoren van compromittering gepubliceerd, waaronder specifieke bestanden en processen die tijdens de blootstellingsperiode tussen 18 mei 2026 14:36 en 14:47 CEST kunnen zijn aangetroffen. Getroffen gebruikers wordt aangeraden verdachte processen te beëindigen, achtergebleven bestanden te verwijderen en alle credentials, tokens, secrets en SSH-sleutels die via de getroffen machine toegankelijk zijn, te wijzigen.

Dit is de tweede keer binnen een jaar dat het Nx-ecosysteem doelwit is van een supply chain-aanval. In augustus 2025 werden diverse npm-pakketten geïnfecteerd met credential stealer malware tijdens de campagne s1ngularity. In tegenstelling tot die aanval richtte deze recente campagne zich specifiek op de VS Code-extensie.