Κακόβουλο πρόσθετο VS Code στοχεύει χρήστες Windows και macOS

Ένα κακόβουλο πρόσθετο για το Visual Studio Code (VS Code), που παρουσιαζόταν ως το δημοφιλές “Material Icon Theme”, χρησιμοποιήθηκε για επιθέσεις σε χρήστες Windows και macOS, μετατρέποντας το πρόσθετο σε κρυφό backdoor.

Δείτε επίσης: Glassworm malware: Νέα κακόβουλα πάκετα VS Code

Το ψεύτικο extension διανεμήθηκε μέσω του marketplace με αλλοιωμένα αρχεία, δίνοντας στους επιτιθέμενους άμεση πρόσβαση στους υπολογιστές των προγραμματιστών μόλις εγκατασταθεί.

Μετά την εγκατάσταση λειτουργούσε σαν ένα κανονικό θέμα εικονιδίων, οπότε οι περισσότεροι χρήστες δεν είχαν λόγο να υποψιαστούν κάτι. Στο παρασκήνιο, όμως, το πακέτο περιείχε δύο εμφυτεύματα γραμμένα σε Rust, ικανά να εκτελέσουν native κώδικα και στα δύο λειτουργικά συστήματα και να επικοινωνήσουν με απομακρυσμένο command server.

Δείτε ακόμα: Νέο ‘SleepyDuck’ malware στο Open VSX επιτρέπει απομακρυσμένο έλεγχο των Windows

Οι ερευνητές ασφαλείας της Nextron Systems εντόπισαν τα εμφυτεύματα στην έκδοση 5.29.1 και εντόπισαν την εκτέλεσή τους να ξεκινά από ένα loader script με όνομα extension.js, το οποίο βρισκόταν στον φάκελο dist/extension/desktop, δίπλα στα native payloads os.node για Windows και darwin.node για macOS. Το περιστατικό αναδεικνύει πως τα κακόβουλα αρχεία αντέγραψαν τη δομή φακέλων του πραγματικού extension για να περάσουν απαρατήρητα.

Μόλις το extension ενεργοποιηθεί στο VS Code, το αρχείο extension.js φορτώνει το κατάλληλο εμφύτευμα Rust για το αντίστοιχο λειτουργικό σύστημα και παραδίδει τον έλεγχο στον κώδικα του εισβολέα.

Δείτε επίσης: 12 κακόβουλες επεκτάσεις στο VSCode Marketplace κλέβουν στοιχεία

Από εκείνη τη στιγμή, το πρόσθετο παύει να είναι ένα αβλαβές εργαλείο και μετατρέπεται σε φορτωτή για επόμενα στάδια της επίθεσης, τα οποία ελέγχονται πλήρως εξωτερικά από το σύστημα του θύματος.