一款具備基礎(chǔ)勒索軟件功能、疑似借助AI生成的惡意擴(kuò)展，已被發(fā)布至微軟官方VS Code應(yīng)用市場(chǎng)。該擴(kuò)展名為susvsex，發(fā)布者為“suspublisher18”，其惡意功能在描述中被公然標(biāo)注。

Secure Annex公司研究員John Tuckner發(fā)現(xiàn)了這款擴(kuò)展，他表示該擴(kuò)展是“氛圍編程”的產(chǎn)物，技術(shù)復(fù)雜度較低。

盡管Tuckner已舉報(bào)該擴(kuò)展及其明確的功能描述——其中披露會(huì)將文件竊取至遠(yuǎn)程服務(wù)器，并通過(guò)AES-256-CBC算法加密所有文件，但微軟未采納其舉報(bào)，也未將該擴(kuò)展從VS Code應(yīng)用市場(chǎng)移除。

勒索軟件擴(kuò)展的工作原理

該擴(kuò)展會(huì)在任意事件觸發(fā)時(shí)激活，包括安裝完成時(shí)或VS Code啟動(dòng)時(shí)，隨后初始化包含硬編碼變量（IP地址、加密密鑰、命令與控制服務(wù)器地址）的“extension.js”文件。

Tuckner指出：“這些變量中多數(shù)帶有注釋?zhuān)砻鞔a并非發(fā)布者直接編寫(xiě)，極有可能是通過(guò)AI生成的?！奔せ詈?，擴(kuò)展會(huì)調(diào)用名為zipUploadAndEncrypt的函數(shù)，檢查標(biāo)記文本文件是否存在，隨后啟動(dòng)加密流程。

它會(huì)將指定目標(biāo)目錄下的文件壓縮為ZIP歸檔文件，竊取至硬編碼的命令與控制（C2）服務(wù)器地址，之后用加密版本替換所有原始文件。

數(shù)據(jù)盜竊例程

該擴(kuò)展會(huì)輪詢(xún)一個(gè)私人GitHub倉(cāng)庫(kù)獲取指令，定期檢查需通過(guò)個(gè)人訪問(wèn)令牌（PAT）驗(yàn)證的“index.html”文件，并嘗試執(zhí)行其中的所有命令。

借助硬編碼的PAT令牌，研究員成功獲取了主機(jī)信息，并發(fā)現(xiàn)該倉(cāng)庫(kù)的所有者疑似位于阿塞拜疆。由于該擴(kuò)展是公然的威脅，其發(fā)布可能是為了測(cè)試微軟的審核流程。

VS Code 市場(chǎng)上的勒索軟件擴(kuò)展

Secure Annex將susvsex稱(chēng)為“AI slop”，其惡意行為在自述文件（README）中完全暴露，但同時(shí)指出，只需稍作修改，這款擴(kuò)展的危險(xiǎn)性將大幅提升。 目前susvsex已被下架。

參考及來(lái)源：https://www.bleepingcomputer.com/news/security/ai-slop-ransomware-test-sneaks-on-to-vs-code-marketplace/