Группа израильских исследователей изучила безопасность рынка Visual Studio Code и сумела «заразить» более 100 организаций, добавив в копию популярной темы Dracula Official опасный код. Дальнейшие исследования рынка VSCode Marketplace выявили тысячи расширений с миллионами установок.
Visual Studio Code (VSCode) - это редактор исходного кода, издаваемый компанией Microsoft и используемый многими профессиональными разработчиками программного обеспечения по всему миру.
Microsoft также управляет рынком расширений для IDE, называемым Visual Studio Code Marketplace, который предлагает дополнения, расширяющие функциональность приложения и предоставляющие больше возможностей для настройки.
Предыдущие отчеты указывали на пробелы в системе безопасности VSCode, позволяющей выдавать себя за расширение и издателя, а также на расширения, крадущие токены аутентификации разработчиков. Также были обнаружены находки, которые были признаны вредоносными.
В ходе недавнего эксперимента исследователи Амит Ассараф, Итай Крук и Идан Дардикман создали расширение, которое опечатывает тему «Dracula Official» - популярную цветовую схему для различных приложений, имеющую более 7 миллионов установок на VSCode Marketplace.
Darcula используется большим количеством разработчиков благодаря визуально привлекательному темному режиму с высококонтрастной цветовой палитрой, которая легко ложится на глаза и помогает снизить напряжение глаз во время длительных сеансов кодирования.
Поддельное расширение, использованное в исследовании, получило название «Darcula», и исследователи даже зарегистрировали соответствующий домен «darculatheme.com». Этот домен использовался для того, чтобы стать проверенным издателем на VSCode Marketplace, что добавило доверия к поддельному расширению.
Расширение использует реальный код из легитимной темы Darcula, но также включает дополнительный скрипт, который собирает информацию о системе, включая имя хоста, количество установленных расширений, доменное имя устройства и платформу операционной системы, и отправляет ее на удаленный сервер через HTTPS POST-запрос.
Исследователи отмечают, что вредоносный код не фиксируется средствами обнаружения и реагирования на конечные точки (EDR), поскольку к VSCode относятся снисходительно из-за того, что она является системой разработки и тестирования.
«К сожалению, традиционные средства защиты конечных точек (EDR) не обнаруживают эту активность (как мы уже демонстрировали примеры RCE для отдельных организаций в ходе процесса ответственного раскрытия информации). VSCode создан для чтения большого количества файлов, выполнения множества команд и создания дочерних процессов, поэтому EDR не могут понять, является ли активность из VSCode законной деятельностью разработчика или вредоносным расширением». - Амит Ассараф
Расширение быстро набрало обороты, и его по ошибке установили несколько важных целей, включая публично зарегистрированную компанию с рыночной стоимостью 483 миллиарда долларов, крупные охранные компании и национальную судебную сеть.
Исследователи предпочли не раскрывать названия пострадавших компаний.
Поскольку эксперимент не имел злого умысла, аналитики собрали только идентифицирующую информацию и включили ее в Read Me, лицензию и код расширения.
После успешного эксперимента исследователи решили изучить угрозы VSCode Marketplace, используя разработанный ими инструмент под названием «ExtensionTotal» для поиска расширений с высокой степенью риска, их распаковки и тщательного изучения подозрительных фрагментов кода.
В ходе этого процесса они обнаружили следующее:
Ниже приведен пример кода, найденного во вредоносном расширении Visual Studio Code Marketplace, которое открывает обратную оболочку на сервер злоумышленника.
Отсутствие у Microsoft строгих механизмов контроля и проверки кода на VSCode Marketplace позволяет угрожающим субъектам совершать масштабные злоупотребления на платформе, которые становятся все более серьезными по мере ее использования.
«Как видно из цифр, на рынке Visual Studio Code существует множество расширений, представляющих опасность для организаций», - предупреждают исследователи.
"Расширения VSCode - это вертикаль атак, которой злоупотребляют и которая подвергается опасности, с нулевой видимостью, высоким воздействием и высоким риском. Эта проблема представляет прямую угрозу для организаций и заслуживает внимания сообщества безопасности".
Все вредоносные расширения, обнаруженные исследователями, были ответственно переданы в Microsoft для удаления. Однако на момент написания этой статьи подавляющее большинство из них по-прежнему доступно для загрузки через VSCode Marketplace.
Исследователи планируют опубликовать свой инструмент 'ExtensionTotal' вместе с подробностями о его рабочих возможностях на следующей неделе, выпустив его в качестве бесплатного инструмента, который поможет разработчикам просканировать свои среды на предмет потенциальных угроз.
BleepingComputer связался с Microsoft, чтобы узнать, не планирует ли компания пересмотреть систему безопасности Visual Studio Marketplace и ввести дополнительные меры, которые затруднили бы опечатки и самозванство, но к моменту публикации мы не получили ответа.
Внутренний исходный код и данные, принадлежащие The New York Times, попали на доску объявлений 4chan после того, как были украдены из репозиториев GitHub компании в январе 2024 года, подтвердили BleepingComputer в The Times.
Исследователи кибербезопасности из Check Point обнаружили растущую тенденцию использования хакерами коммерческих упаковочных инструментов, таких как BoxedApp, для сокрытия и распространения различных штаммов вредоносного ПО.
Генератор случайных паролей Roboform был взломан, чтобы вернуть биткоины на сумму более 3 миллионов долларов. После потери пароля биткоины были недоступны в течение 11 лет.