- Pahatahtlik laiendus nimega Solidity Pro varastab brauseri rahakotte ja volitusi.
- 77 võltsitud laiendust Open VSX-il jäljendavad seaduslikke tööriistu ja hangivad andmeid.
- Mõlemad kampaaniad kasutavad avastamisest kõrvalehoidmiseks hägustamist ja viivitatud aktiveerimist.
- Kasutajad peaksid kontrollima väljaandjaid ja jälgima laienduste tegevust.
Visual Studio Code'i ökosüsteemi piirab uus pahatahtlike laienduste laine, mis sihib arendajate volitusi, krüptorahakotte ja tundlikke hoidla andmeid. Turvauurijad on paljastanud kaks erinevat kampaaniat: üks pakkus võltsitud Solidity tööriista kaudu täieõiguslikku teabevarast ja teine ujutas Open VSX registri üle võltsitud laiendustega, mis olid loodud giti ja CI/CD metaandmete kogumiseks. Mõlemad kampaaniad kasutavad keerukat hägustamist ja viivitatud aktiveerimist, et automatiseeritud skanneritest mööda hiilida ja luua usaldust pahaaimamatute kasutajatega.
Kuigi laiendused on ametlikelt turuplatsidelt eemaldatud, püsib oht kõigile, kes need installisid või arenduskujutistesse sisse ehitasid. Need intsidendid toovad esile kasvava tarneahela riski arendajate tööriistade valdkonnas, kus pahatahtlikud tegutsejad kasutavad ära arendajate usaldust avatud lähtekoodiga laienduste vastu. Organisatsioonid ja üksikud arendajad peavad võtma ennetavaid samme oma keskkondade auditeerimiseks ja rangete laienduspoliitikate jõustamiseks.
Solidity Pro varastaja
Küberturbefirma Yeeth Security on märganud pahatahtlikku VS Code'i laiendust nimega Solidity Pro (väljaandja ID-d: helper-beeps.solidity-pro ja web3devtoolsx.solidity-pro), mis pakub brauseri rahakotti ja mandaatide varastajat. Kuigi laiendused pole enam Open VSX-is saadaval, on web3devtoolsx/solidity-pro GitHubi hoidla endiselt kättesaadav. Varased versioonid (1.0.0 kuni 2.4.x) edastasid infot Cloudflare Workersi lõpp-punktidesse , et hankida ja käivitada krüptitud Pythoni kasulikku koormust. Alates versioonist 3.0.0 arenes laiendus täieõiguslikuks teabe varastajaks, mis on võimeline koguma brauseriprofiile, krüptorahakotte, lähtekoodikontrolli märke, API-võtmeid, SSH-võtmeid ja Telegrami boti märke.
Varastaja kogub laia valikut tundlikke andmeid, sealhulgas GitHubi märke (ghp_ ja github_pat_), GitLabi märke (glpat-), AWS-võtmeid ja seansi märke, Cloudflare'i märke (cfat_), OpenAI võtmeid (sk-, sk-proj-, sk-ant-), Telegrami botide märke, mnemoonika- ja seemnefraase, MetaMaski, Phantomi, Rabby, Coinbase'i, Trusti ja Keplri rahakotihoidlaid, Bitcoini WIF/xprv võtmeid, SSH privaatvõtmeid, URL-i mandaate ja 1Password MFA märke. Kõik jäädvustatud andmed filtreeritakse Telegrami boti üleslaadimise kaudu , andes ründajatele reaalajas juurdepääsu varastatud teabele.
See pahavaraperekond on loodud turuülevaadete, staatilise skaneerimise ja juhusliku liivakastikeskkonna möödahiilimiseks ulatusliku hägustamise, usalduse loomiseks mõeldud puhaste vahepealsete versioonide ja juhusliku viivitatud aktiveerimise abil. Pahatahtlik kood käivitub mitu tundi või päeva pärast installimist , milleks ajaks on kasutaja juba otsustanud, et laiendus on kasulik, ja automatiseeritud skannerid on edasi liikunud. Yeeth Security märkis, et hägustamine jagab stringid IIFE tabelite vahel, paneb need käitusajal uuesti kokku ja vahetab meetodite nimesid versioonide vahel, muutes signatuuripõhise tuvastamise liikuvaks sihtmärgiks.
See tegevus jagab sama üldist käsiraamatut nagu WhiteCobra, 2025. aasta septembris tuvastatud ohuklaster, mis levitas Lumma Stealerit pahatahtlike VS Code'i laienduste kaudu. See järgneb ka 2026. aasta juuni intsidendile, kus teine laiendus nimega ethdevtools.solidity-language-support imiteeris Solidity keeletoe tööriista, kuid sisaldas viivitatud aktiveerimisega lõikelauale varastajat, et kraapida BIP-39 seemnefraase, Ethereumi privaatvõtmeid ja rahakoti aadresse. See varastaja vahetas lõikelauale aadresse ründaja kontrollitavatega, kasutades vscode.env.clipboard.writeText, esimese osapoole API-kõnet, mis ei vaja lapseprotsessi, võrguühendust ega failikirjutamist, vältides seega staatilisi skannereid, mis otsivad ainult ohtlikke Node'i importe.
Võltsitud laiendused avatud VSX-is
Eraldi, kuid seotud arenduses avaldas Manifold Security 4. augustil uuringu, mis paljastas 77 võltsitud laiendust, mis ilmusid Open VSX-is 26. juuli ja 1. augusti vahel. Need laiendused avaldasid uuesti seaduslike VS Code Marketplace'i laienduste nimed ja nimeruumid kontodelt, mis neid ei omanud. Kõik 77 suunati ühele domeenile, mis oli registreeritud 11 päeva enne esimese paketi ilmumist , ja enamik saatis ainult hostinime. 19 neist kandis aga kaasas täielikumat koormust, mis kogus üksikasjalikku teavet arendaja masina ja hoidla kohta.
Mõne sekundi jooksul pärast aktiveerimist saatsid pahatahtlikud laiendused hostinime, operatsioonisüsteemi kasutajanime, redaktori üksikasjad ja masina ID. Seejärel lugesid nad redaktoris avatud repositooriumi, jäädvustades giti kaughosti, organisatsiooni, commit e-posti domeeni, haru ja HEAD commit'i. Samuti kogusid nad pideva integratsiooni väärtusi, nagu GitHubi repositooriumi nimi, GitLabi projekti tee ja Codespace'i nimi. Ehitusjärkude või pilvearenduskeskkondade puhul võis see paljastada privaatse repositooriumi täieliku nime, mitte ainult organisatsiooni.
Selle kampaania tegi ebatavaliseks see, et laienduste loendites oli jaotis „Telemeetria”, mis loetles täpselt enamiku kogutud väljadest koos kinnitustega, et lähtekoodi, volitusi ega tokeneid ei võetud. Manifold Security kontrollis neid väiteid koodiga ja leidis, et need kehtivad – välja arvatud üks laiendus. Selle laienduse loendis oli kirjas, et CI-andmed hõlmasid ainult markerite nimesid ja mitte kunagi väärtusi , kuid kood saatis mõlemat, muutes selle kasuliku koormuse kõige tundlikumaks väljaks.
Laiendustel polnud muid funktsioone – olekuribal kuvatud linnuke kuvas linnukese, üks käsk kuvas teateakna ja majakas käivitus. Koguja domeen registreeriti kolmeaastaseks perioodiks registripidaja kaudu, mis redigeerib registreerija andmeid. Kood käsitles iga HTTP-vastust edukana, sealhulgas vigu, ja proovis uuesti seitsme päeva jooksul, jätkates iga redaktori taaskäivitamisel. Kui kõik lõpp-punktid nurjusid, küsis majakas DNS-i TXT-kirjest asenduskoguja aadressi , mis võimaldas operaatoril infrastruktuuri ümber paigutada ilma uusi pakette saatmata.
Open VSX eemaldas paketid 3. augustil, kuid infrastruktuur jäi kirjutamise ajal aktiivseks. Manifold Security soovitas kinnitada need avaldaja ja versiooni järgi, kus registrid sisemiselt peegeldatakse, käsitleda kontrollimata avaldaja ribareklaami automatiseeritud installimisel blokeeriva tingimusena ning hoiatada redaktoriprotsesside eest, mis võtavad hiljuti registreeritud domeenidega ühendust varsti pärast käivitamist.
Muud pahatahtlikud laiendused ja paketid
Solidity Pro avastus langes kokku mitme teise pahavaralise VS Code'i laienduse ja npm-paketi tuvastamisega. Npm-pakett nimega ascii-fetcher manustab pahatahtliku koodi sõltuvusse nimega @jaymara/jsononifier, et dekodeerida manustatud käsk (antud juhul „calc.exe”) ja käivitada see child_process.exec kaudu koos windowsHide'iga. 10 VS Code'i laienduse komplekt pakub laia valikut Windowsi-põhiseid BAT-, JavaScripti- ja HTA-droppereid , millest kaks sisaldavad npm-sõltuvust, mis kasutab installijärgset konksu kaug-lasti toomiseks ja käivitamiseks.
Teine laiendus, DigitalBarberTrim.html-entity-codec, eemaldab valitud versioonides VSIX-faili pärast teadaolevate VS Code'i harude (nt Cursor, Windsurf, Codium ja Positron) loetlemist, pakkudes samal ajal teistes versioonides „peaaegu tühja tüve“, et radari alt läbi libiseda. Zlmiles.zlmiles-liquid, mis on nüüd VS Marketplace'ist eemaldatud, kasutab kahtlustatavat ehituskomplekti, et eemaldada Repliti domeenil majutatud MSI installer . Need näited illustreerivad ründajate mitmekesiseid taktikaid, mida nad arendajakeskkondadesse tungimiseks kasutavad.
Kaitse ja leevendamine
Kasutajatel, kes on installinud mõne märgistatud laienduse, soovitatakse see viivitamatult eemaldada, kontrollida sõltuvusgraafikuid, blokeerida teadaolevad käsklus-ja-juhtimise (C2) domeenid ning anda märku cscripti, mshta, cmd, curli ja PowerShelli käskude kasutamise kohta. Organisatsioonid peaksid käivitama koodi –list-extensions –show-versions, et inventuurida installitud laienduste ID-sid ja versioone , ning kontrollima ka .vscode/extensions.json, .devcontainer/devcontainer.json ja arendaja või CI pilte, kuna automaatne ettevalmistamine saab laiendusi installida ilma, et arendaja peaks neid käsitsi valima.
Turuplatsi eemaldamised ei paranda süsteeme, kus laiendus on juba olemas. Neid kampaaniaid uurivad meeskonnad peaksid kontrollima mõjutatud pakettide ID-sid, üle vaatama mangorbitcom-i hõlmava redaktoriliikluse ning inspekteerima lõpp-punkte või looma keskkondi, kus kahtlased laiendused töötasid. Laienduste käsitlemine tarneahela sõltuvustena on ülioluline – organisatsioonid peaksid tagasi lükkama paketid kontrollimata Open VSX-i väljaandjatelt, kasutama sisemisi peegleid teadaolevate väljaandjate ja versioonidega ning rakendama Microsofti extensions.allowed poliitikat lubatud väljaandjate, laienduste, versioonide ja platvormide kontrollimiseks.
Laienduste inventuurid, väljaandjate kontrollimine, lubatud nimekirjad ja lõpp-punktide jälgimine peaksid olema rutiinsed kõikjal, kus arendaja süsteemid pääsevad juurde lähtekoodile, pilveressurssidele või juurutamise infrastruktuurile. Hiljutised intsidendid rõhutavad, et isegi usaldusväärsed tööriistad võivad muutuda rünnakute sihtmärkideks ja valvsus on hädavajalik.
Arendustööriistade ökosüsteemi jätkuva kasvuga laieneb ka rünnakute arv. Solidity Pro varastaja ja Open VSX võltsingukampaania on vaid kaks näidet sellest, kuidas pahatahtlikud tegutsejad kohandavad oma meetodeid, et ära kasutada arendajate usaldust laienduste vastu. Teadlikuks jäädes ja tugevate turvapraktikate rakendamisega saavad arendajad ja organisatsioonid vähendada oma riski ning kaitsta oma väärtuslikku koodi ja volitusi valedesse kätesse sattumise eest.
