Ekstensi jahat dina VSCode: Vektor serangan anyar pikeun masang cryptominers dina Windows

Visual Studio Code, atawa ngan saukur VSCode, geus jadi salah sahiji parabot favorit pikeun programer sakuliah dunya. Versatility sarta kamungkinan nambahkeun fungsionalitas ngaliwatan ekstensi ngajadikeun eta utamana pikaresepeun.. Tapi justru katerbukaan ieu parantos janten gerbang pikeun ancaman cyber anu ngamangpaatkeun kapercayaan pangguna.

Dina sababaraha dinten terakhir, sababaraha hal parantos terang: Salapan ekstensi dina Pasar VSCode resmi anu nyumputkeun kode jahat. Sanaos aranjeunna janten utilitas anu sah anu ditujukeun pikeun ningkatkeun pangalaman pangwangunan, kanyataanna Aranjeunna nginféksi sistem sareng parangkat lunak cryptomining anu dirancang pikeun ngeksploitasi sumber daya komputer sacara siluman.. Papanggihan ieu nyababkeun kasalempang komunitas pamekar sareng nyorot kabutuhan pangawasan anu langkung ketat pikeun jenis platform ieu.

Ekstensi dikompromi dina Pasar VSCode

Papanggihan ieu dilakukeun ku Yuval Ronen, panalungtik dina platform ExtensionTotal, anu mendakan yén séri ekstensi sayogi dina portal Microsoft pikeun VSCode. Aranjeunna diaktipkeun kode disumputkeun sanggeus dipasang. Kode ieu ngamungkinkeun palaksanaan skrip PowerShell anu diunduh sareng dipasang dina latar tukang XMRig cryptominer, dianggo dina operasi pertambangan cryptocurrency ilegal sapertos Monero sareng Ethereum.

nu Bungkusan anu kapangaruhan dileupaskeun tanggal 4 April 2025, sareng parantos sayogi dipasang ku pangguna mana waé tanpa aya larangan. The ekstensi Aranjeunna dibere salaku parabot mangpaat, sababaraha patali jeung compiler basa jeung lianna pikeun kecerdasan jieunan atawa utilitas pamekar.. Di handap ieu daptar lengkep ekstensi dilaporkeun:

• Discord Rich Presence pikeun VSCode - ku Mark H
• Beureum - Roblox Studio Sync - ku evaera
• Solidity Compiler - ku pamekar VSCode
• Claude AI - ku Mark H
• Golang Compiler – Mark H
• Agén ChatGPT pikeun VSCode - ku Mark H
• HTML Obfuscator - ku Mark H
• Python Obfuscator - ku Mark H
• Kompiler Rust pikeun VSCode - ku Mark H

Ieu kudu dicatet yén sababaraha ekstensi ieu miboga ongkos ngurangan heran tinggi; Salaku conto, "Discord Rich Presence" nunjukkeun langkung ti 189.000 pamasangan, sedengkeun "Rojo - Roblox Studio Sync" ngagaduhan sakitar 117.000. Seueur ahli cybersecurity parantos nunjukkeun éta Angka-angka ieu tiasa di-inflated sacara artifisial pikeun nyiptakeun penampilan popularitas. sarta narik leuwih unsuspecting pamaké.

Dina waktos laporan umum, Ekstensi terus sayogi di Pasar, nu nyababkeun kritik ka Microsoft pikeun kurangna respon saharita kana ngabejaan kaamanan. Kanyataan yén ieu pamasangan ti sumber resmi ngajantenkeun masalahna langkung hipu.

Kumaha serangan jalanna: téknik anu dianggo ku ekstensi jahat

Prosés inféksi dimimitian langsung saatos extension dipasang. Dina titik éta, skrip PowerShell dieksekusi anu diunduh tina alamat éksternal: https://asdfqq(.)xyz. Skrip ieu teras tanggung jawab pikeun ngalakukeun sababaraha tindakan rahasia anu ngamungkinkeun panambang pikeun nyarang dina komputer anu kapangaruhan.

Salah sahiji hal anu munggaran dilakukeun ku naskah nyaéta Pasang ekstensi nyata anu dicobaan ku jahat. Ieu dimaksudkeun pikeun ngahindarkeun kacurigaan ti pangguna anu tiasa perhatikeun bédana fungsionalitas. Samentara éta, kode terus dijalankeun dina latar tukang pikeun nganonaktipkeun ukuran panyalindungan sareng muka jalan pikeun panambang crypto beroperasi teu kadeteksi.

Di antara tindakan anu paling kasohor dina naskah nyaéta:

• Nyieun tugas dijadwalkeun disguised kalawan ngaran sah kawas "OnedriveStartup".
• Nyelapkeun paréntah jahat kana pendaptaran sistem operasi, mastikeun kegigihan na sapanjang reboots.
• Nonaktipkeun jasa kaamanan dasar, kaasup Windows Update sareng Windows Medic.
• Kaasup diréktori panambang dina Daptar pangaluaran Windows Defender.

Saterusna, lamun serangan gagal sukses hak istimewa administrator Dina runtime, eta employs téhnik katelah "DLL hijacking" via file MLANG.dll palsu. Taktik ieu ngamungkinkeun binér jahat dieksekusi ku cara niru sistem anu sah anu tiasa dieksekusi sapertos ComputerDefaults.exe, masihan tingkat ijin anu diperyogikeun pikeun ngarengsekeun pamasangan panambang.

Sakali sistem ieu compromised, a operasi pertambangan jempé tina cryptocurrencies nu meakeun sumberdaya CPU tanpa pamaké gampang ngadeteksi eta. Eta geus dikonfirmasi yén server jauh ogé sarwa diréktori kayaning "/ npm /," raising kacurigaan yén kampanye ieu bisa dilegakeun ka portals lianna kayaning NPM. Sanajan, sajauh ieu, euweuh bukti beton geus kapanggih dina platform éta.

Naon anu kudu dilakukeun upami anjeun parantos masang salah sahiji ekstensi ieu

Upami anjeun, atanapi batur dina tim anjeun, parantos masang salah sahiji ekstensi anu curiga, Éta mangrupikeun prioritas pikeun ngaleungitkeun aranjeunna tina lingkungan padamelan. Kantun ngahapus aranjeunna tina pangropéa henteu cekap, sabab seueur tindakan anu dilakukeun ku naskah tetep tetep sareng tetep saatos ngahapus ekstensi.

Hadé pisan mun éta nuturkeun léngkah ieu:

• Hapus tugas anu dijadwalkeun sacara manual salaku "OnedriveStartup".
• Hapus éntri curiga dina Ngadaptar Windows patali jeung malware.
• Pariksa sareng ngabersihan diréktori anu kapangaruhan, utamana nu ditambahkeun kana daptar pangaluaran.
• Laksanakeun a scan lengkep sareng alat antipirus anu diropéa sarta mertimbangkeun ngagunakeun solusi canggih nu ngadeteksi kabiasaan anomali.

Sareng di luhur sadayana, lampah gancang: sanaos karusakan utama nyaéta pamakean sumber daya sistem anu henteu sah (konsumsi tinggi, slowness, overheating, jsb.), Ieu teu maréntah kaluar yén panyerang bisa geus muka panto tukang lianna..

Épisode ieu nyorot kumaha gampangna pikeun ngamangpaatkeun kapercayaan dina lingkungan pamekaran, bahkan dina platform anu didirikeun salaku Pasar VSCode resmi. Ku alatan éta, pamaké disarankan pikeun Parios sacara saksama sumber ekstensi naon waé sateuacan dipasang, Prioritaskeun anu gaduh basa pangguna anu diverifikasi sareng nyingkahan bungkusan énggal ti pamekar anu teu dipikanyaho. Proliferasi jenis kampanye jahat ieu nunjukkeun kanyataan anu pikahariwangeun: lingkungan pangwangunan, anu sateuacana dianggap aman sacara standar, Éta ogé tiasa janten vektor serangan lamun validasi mantap sarta protokol monitoring teu dilarapkeun. Pikeun ayeuna, tanggung jawab tumiba dina panyadia platform sareng pamekar sorangan, anu kedah tetep waspada.