Extensões do VS Code sequestradas para espalhar ransomware

Uma investigação recente revelou uma campanha cibernética que explora extensões maliciosas do Visual Studio Code (VS Code) para disseminar ransomware, utilizando repositórios do GitHub como parte de sua infraestrutura de comando e controle (C2). Os pesquisadores identificaram várias extensões no Marketplace do Visual Studio que continham cargas ocultas disfarçadas de utilitários legítimos para desenvolvedores. Após a instalação, esses pacotes executavam JavaScript ofuscado que lançava comandos do PowerShell. Os scripts maliciosos recuperavam cargas secundárias de repositórios do GitHub sob contas aparentemente benignas.

As extensões imitavam títulos como “Theme Loader” e “Syntax Pro” e, uma vez ativadas, enviavam requisições GET para repositórios controlados pelos atacantes, transmitindo identificadores do sistema. A carga recuperada realizava reconhecimento, coletando informações do sistema e armazenando dados em arquivos .cab antes de enviá-los de volta ao GitHub. O ataque culminou na execução de um loader de ransomware que criptografava os ambientes de trabalho dos desenvolvedores, exigindo pagamento em criptomoeda. Para mitigar riscos, as organizações devem restringir a instalação de extensões não verificadas e monitorar o tráfego de saída para conexões anômalas com o GitHub.

Fonte: https://cyberpress.org/vs-code-extensions-ransomware/

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).