Всем пользователям VSCode следует опасаться вредоносных расширений!

Именно это произошло с магазином расширений Microsoft Visual Studio Code, где тонны вредоносных расширений ждут, пока вы щелкнете и установите их, если вы не обратите внимания.

Что такое вредоносное расширение VSC?

Вредоносные расширения VSC часто выдают себя за другие, более популярные расширения или обещают добавить новые функциональные возможности, чтобы побудить людей установить их. После установки и активации они могут делать что угодно: от изменения настроек VSC до кражи данных с компьютеров.

Расширения VSC сами по себе не являются проблемой. Возможность добавлять расширения для дальнейшего улучшения функциональности VSC делает его сегодня одним из самых популярных редакторов кода. Однако, поскольку установленные расширения часто имеют неограниченный доступ к установке VSC и в некоторой степени к ПК, это также делает их идеальным средством для злоумышленников для внедрения вредоносного ПО на ваш компьютер. В мире, где мошенники могут даже использовать ваше лицо для мошенничества, лучше быть осторожным.

Эти вредоносные расширения могут представлять собой что угодно: от простых инструментов для кражи данных, которые могут украсть личную информацию (PII) с компьютера, до включения компьютера в ботнет, используемый для проведения DDoS-атак или распространения вредоносного ПО. Кроме того, поскольку атаки на цепочки поставок становятся все более распространенными, они также открывают двери для гораздо более серьезного тестирования вредоносного ПО, особенно с учетом многочисленных установок VSC на устройствах. связанные с работой, которую программисты используют во время работы в своих организациях.

Исследователи безопасности Амит Ассараф, Итай Крук и Идан Дардикман в ходе глубокого изучения вредоносных расширений на рынке VSC выявили некоторые интересные статистические данные:

1283 расширения с общим числом установок 229 миллионов включают известные вредоносные зависимости.
87 расширений попытались прочитать файл /etc/passwd в хост-системе. В этом файле хранятся системные пароли и другая конфиденциальная информация.
8161 расширение взаимодействует с помощью жесткого кода.
1452 расширения запускают на сервере неизвестные двоичные файлы или исполняемые библиотеки DLL.
267 имеют встроенные секреты.
VirusTotal подтвердил высокую надежность кода и зависимостей 145 расширений.
2304 расширения используют репозиторий GitHub другого издателя в качестве официального репозитория.
Было обнаружено 783 расширения, использующих сторонние модели искусственного интеллекта.

Хотя эти цифры не обязательно указывают на вредоносную активность каждого включенного расширения, они вызывают достаточно подозрений, чтобы заставить любого дважды подумать, прежде чем устанавливать их.

В предыдущем отчете исследователей безопасности Илая Голдмана и Якира Кадкоды для AquaSec были обнаружены аналогичные закономерности: вредоносные расширения скрываются под копиями обычных расширений. Например, на изображении ниже данные слева принадлежат реальному расширению, а данные справа — вредоносному расширению, пытающемуся имитировать исходное расширение.

Это изображение также прекрасно иллюстрирует, почему вредоносное ПО на рынке VSC является проблемой. Практически каждый может загрузить расширение и указать его информацию, где захочет, независимо от того, является ли она вводящей в заблуждение или вредоносной.

Как вредоносные расширения появляются на VSC Marketplace?

Существует несколько способов появления вредоносных расширений на рынке VSC. Однако наиболее популярными являются следующие два метода.

Тайпсквоттинг

Тайпсквоттинг — это метод, при котором злоумышленник использует опечатки широко используемой программы или, в данном случае, расширения для распространения поддельной программы. Например, если вы ищете расширение с именем «Программист», злоумышленник может создать вредоносное расширение с именем «Программист» или «Программист» и обманом заставить вас загрузить его.

Они часто содержат программы для кражи данных или другие вредоносные программы и могут серьезно навредить вашему компьютеру. На самом деле это ошибка, которую иногда может совершить каждый из нас, и она дорого нам обходится.

Поддельные расширения

Как следует из названия, эти расширения обещают функциональность, позволяющую подделывать или выдавать себя за другие, более популярные расширения, чтобы вы могли их установить. После установки они либо явно неактивны, либо предоставляют некоторую функциональность, в основном сосредотачиваясь на управлении ПК или краже данных.

Это довольно распространенный способ распространения вредоносного ПО, и мошенники часто используют названия крупных корпораций с проверенными учетными записями, чтобы придать своим вредоносным программам видимость легитимности. Даже приложение Google Bard распространяется как вредоносное ПО, используя аналогичный подход.

Джессика Таннер