關(guān)鍵詞

惡意軟件

網(wǎng)絡(luò)安全研究人員發(fā)現(xiàn)了一場涉及19個(gè)Visual Studio Code擴(kuò)展的攻擊活動(dòng)，這些擴(kuò)展在其依賴文件夾中嵌入了惡意軟件。

該活動(dòng)自2025年2月開始活躍，于12月2日被識(shí)別。攻擊者利用一個(gè)合法的npm包來偽裝惡意文件，并將惡意二進(jìn)制文件捆綁在一個(gè)偽裝成PNG圖像的存檔文件中。

ReversingLabs觀察到的這種手法使攻擊者能夠繞過常規(guī)檢查，直接針對(duì)開發(fā)人員。

網(wǎng)絡(luò)釣魚手段的演變

2025年以來，一波新的惡意VS Code擴(kuò)展不斷傳播。ReversingLabs指出，VS Code Marketplace上的可疑上傳數(shù)量持續(xù)上升。

一些擴(kuò)展模仿流行工具，另一些則宣傳新功能但暗中執(zhí)行惡意代碼。即使是受信任的擴(kuò)展也可能被攻陷：今年7月，一個(gè)惡意拉取請(qǐng)求通過添加有害依賴項(xiàng)污染了一個(gè)合法項(xiàng)目。

在這次新的攻擊活動(dòng)中，攻擊者在擴(kuò)展的node_modules文件夾中嵌入了經(jīng)過修改的npm包path-is-absolute。

該原始包自2021年以來已被下載超過90億次，但修改后的版本包含一個(gè)類，旨在VS Code啟動(dòng)時(shí)觸發(fā)惡意軟件。其目的是解碼存儲(chǔ)在名為“l(fā)ock”的文件中的JavaScript投放器。

攻擊者還包含了一個(gè)名為banner.png的文件，該文件看似無害，但實(shí)際上是一個(gè)包含兩個(gè)二進(jìn)制文件的存檔。

投放器通過常見的離地生存二進(jìn)制文件（LOLBIN）cmstp.exe啟動(dòng)這些文件。其中一個(gè)可執(zhí)行文件通過模擬按鍵操作來關(guān)閉進(jìn)程，另一個(gè)則是基于Rust的木馬程序，截至報(bào)道時(shí)仍在分析中。

對(duì)開發(fā)人員日益增長的威脅

ReversingLabs表示，雖然大多數(shù)惡意擴(kuò)展依賴修改后的path-is-absolute依賴項(xiàng)，但其他四個(gè)擴(kuò)展則利用了npm包@actions/io，將有效負(fù)載存儲(chǔ)在TypeScript和映射文件中，而非使用偽裝的PNG文件。

盡管技術(shù)手段不同，但目標(biāo)一致：通過受信任的組件秘密執(zhí)行惡意軟件。

ReversingLabs警告稱，檢測(cè)惡意VS Code擴(kuò)展已變得日益緊迫。該公司表示，檢測(cè)數(shù)量從2024年的27個(gè)增加到2025年前10個(gè)月的105個(gè)。

為降低風(fēng)險(xiǎn)，建議團(tuán)隊(duì)：

• 在安裝前檢查擴(kuò)展

• 審計(jì)所有捆綁的依賴項(xiàng)

• 使用能夠評(píng)估包行為的安全工具

“保持安全并非完全避免使用擴(kuò)展，而是要認(rèn)識(shí)到即使受信任的組件也可能被篡改，”ReversingLabs表示。

“所有提及的擴(kuò)展均已向微軟報(bào)告?！?/p>

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！