👩‍💻 Вредоносные расширения VSCode заражали пользователей майнерами.

• Исследователь Extension Total Ювал Ронен обнаружил девять расширений VSCode на Visual Studio Code Marketplace от Microsoft, которые выдают себя за легитимные инструменты разработки, но заражают пользователей криптомайнером для добычи Monero.

• Названия пакетов со встроенным майнером:

➡Discord Rich Presence для VS Code (автор Mark H) — 189 тыс. установок;
➡Rojo — Roblox Studio Sync (автор evaera) — 117 тыс. установок;
➡Solidity Compiler (автор VSCode Developer) — 1,3 тыс. установок;
➡Claude AI (автор Mark H);
➡Golang Compiler (автор Mark H);
➡ChatGPT Agent для VSCode (автор Mark H);
➡HTML Obfuscator (автор Mark H);
➡Python Obfuscator для VSCode (автор Mark H);
➡Rust Compiler для VSCode (автор Mark H).

• Таким образом, расширения установили более 300 тысяч раз, начиная с 4 апреля.

• Если пользователь устанавливал вредоносное расширение, то на ПК жертвы извлекался PowerShell скрипт, который выполнял множество функций: отключал защиту, закреплялся в системе, повышал привилегии и, в конечном итоге, скачивал на ПК майнер. Таким образом, скрипт создавал запланированную задачу, замаскированную под OnedriveStartup и вносил малварь в реестр Windows, чтобы обеспечить запуск при старте системы. Затем он отключал такие службы, как Windows Update и Update Medic, и добавлял свой рабочий каталог в список исключений Windows Defender, чтобы избежать обнаружения.

• Вся необходимая информация была передана Microsoft, и компания заявила, что уже удалила их, а издатель был заблокирован в VS Marketplace.

#Новости #VSCode