Útočníci 18. května 2026 zveřejnili trojanizovanou verzi rozšíření Nx Console pro VS Code (nrwl.angular-console v18.95.0), které mělo 2,2 milionu předchozích instalací. Škodlivý build byl ve Visual Studio Code Marketplace dostupný jen 11 minut, než ho tým Nx stáhl, ale za tu dobu stihl stáhnout 498 KB obfuskovaného payloadu z osiřelého commitu uvnitř oficiálního repozitáře nrwl/nx na GitHubu a spustit ho v okamžiku, kdy vývojář otevřel jakýkoliv workspace.
Payload byl vícestupňový kradeč přihlašovacích údajů — sbíral tokeny z GitHubu, npm, AWS, HashiCorp Vault, Kubernetes a 1Password a exfiltroval je třemi nezávislými kanály: HTTPS, GitHub API a DNS tunelováním. Skupina TeamPCP použila ukradený osobní přístupový token přispěvatele k vytlačení osiřelého commitu ve 03:18 UTC, následně se k útoku přihlásila na kyberkriminálních fórech a nabídla přibližně 3 800 interních repozitářů GitHubu ukradených dotčeným organizacím.
Vývojářům se doporučuje upgradovat Nx Console na verzi 18.100.0 nebo novější, odstranit ze svých zařízení persistentní backdoor a rotovat všechny přihlašovací údaje, ke kterým mělo VS Code přístup — včetně GitHub PAT tokenů, npm tokenů, SSH klíčů, cloudových přihlášení a obsahu .env souborů.