Vs Code

O GitHub confirmou que aproximadamente 3.800 repositórios internos foram comprometidos após um de seus funcionários instalar uma extensão maliciosa no Visual Studio Code (VS Code). A empresa removeu a extensão trojanizada do marketplace e isolou o dispositivo afetado. A investigação inicial sugere que a atividade envolveu a exfiltração de repositórios internos do GitHub, sem evidências de que dados de clientes armazenados fora desses repositórios tenham sido afetados. O grupo hacker TeamPCP reivindicou o acesso ao código-fonte do GitHub e à venda de cerca de 4.000 repositórios de código privado, pedindo pelo menos US$ 50.000 pelos dados. Este incidente destaca a vulnerabilidade das extensões do VS Code, que já foram alvo de ataques anteriores, com extensões maliciosas sendo usadas para roubar credenciais de desenvolvedores. O GitHub, que abriga mais de 420 milhões de repositórios de código, é amplamente utilizado por organizações ao redor do mundo, incluindo 90% das empresas da Fortune 100.

Pesquisadores de cibersegurança alertaram sobre uma versão comprometida da extensão Nx Console, publicada no Marketplace do Microsoft Visual Studio Code (VS Code). A extensão rwl.angular-console (versão 18.95.0), que possui mais de 2,2 milhões de instalações, foi afetada por um ataque que permitiu a execução silenciosa de um payload ofuscado assim que um desenvolvedor abria qualquer espaço de trabalho. Esse payload, descrito como um ‘stealer de credenciais multi-estágio’, coleta segredos de desenvolvedores e os exfiltra via HTTPS, API do GitHub e tunelamento DNS. Além disso, instala um backdoor em sistemas macOS. O ataque foi possibilitado por credenciais de um desenvolvedor que foram comprometidas em um incidente anterior. Os mantenedores da extensão alertaram que alguns usuários foram comprometidos e recomendaram a atualização para a versão 18.100.0 ou superior. O incidente destaca a vulnerabilidade das cadeias de suprimentos de software e a necessidade de vigilância constante contra ataques semelhantes, especialmente em um cenário onde pacotes maliciosos têm se proliferado em repositórios de código aberto.

Pesquisadores de cibersegurança identificaram 73 extensões maliciosas no repositório Open VSX do Microsoft Visual Studio Code (VS Code), associadas a uma campanha persistente de roubo de informações chamada GlassWorm. Dentre essas extensões, seis foram confirmadas como maliciosas, enquanto as demais atuam como pacotes ‘sleeper’, que enganam os usuários a baixá-las e confiar nelas antes de revelarem sua verdadeira intenção por meio de atualizações subsequentes. Publicadas no início de abril de 2026, essas extensões clonadas imitam suas contrapartes legítimas, utilizando os mesmos ícones e descrições para confundir desenvolvedores desavisados. A campanha GlassWorm v2, monitorada pela empresa de segurança Socket, já identificou mais de 320 artefatos desde dezembro de 2025. O objetivo final dos atacantes é executar malware que evite sistemas russos, roubar dados sensíveis e instalar um trojan de acesso remoto (RAT). A abordagem atual dos atacantes envolve o uso de pacotes ‘sleeper’ e dependências transitivas para evitar detecções, além de um dropper baseado em Zig que implanta uma extensão secundária do VSIX hospedada no GitHub, afetando todos os ambientes de desenvolvimento integrados (IDEs) na máquina do desenvolvedor.

Uma nova campanha de cibersegurança está atacando desenvolvedores no GitHub, utilizando alertas falsos de segurança do Visual Studio Code (VS Code) para induzir usuários a baixar malware. Os posts, que aparecem na seção de Discussões de vários projetos, são elaborados como avisos de vulnerabilidade e apresentam títulos alarmantes, como “Vulnerabilidade Severa - Atualização Imediata Necessária”, frequentemente incluindo IDs de CVE falsos. Os atacantes se passam por mantenedores de código reais, criando uma falsa sensação de legitimidade. A empresa de segurança Socket identificou que essa atividade é parte de uma operação bem organizada, com posts automatizados de contas recém-criadas ou com pouca atividade, que geram notificações por e-mail para um grande número de usuários. Os links nos alertas direcionam para versões supostamente corrigidas de extensões do VS Code, hospedadas em serviços externos como o Google Drive, o que pode enganar os usuários apressados. Ao clicar, os usuários são redirecionados para um site que coleta informações sobre o sistema da vítima. Este incidente destaca a necessidade de cautela ao lidar com alertas de segurança e a importância de verificar a legitimidade das fontes antes de agir.

Pesquisadores de cibersegurança revelaram uma vulnerabilidade crítica no Open VSX, que afeta o processo de verificação de extensões do Visual Studio Code (VS Code). A falha, identificada como ‘Open Sesame’, permitiu que extensões maliciosas passassem pelo processo de verificação e fossem publicadas no repositório. O problema reside em um retorno booleano que não diferencia entre ’nenhum scanner configurado’ e ’todos os scanners falharam’, levando a uma interpretação errônea dos resultados de verificação. Quando os scanners falhavam sob carga, o Open VSX considerava que não havia nada a escanear, permitindo que extensões maliciosas fossem ativadas e disponibilizadas para download. A vulnerabilidade foi explorada por atacantes que inundaram o endpoint de publicação com várias extensões maliciosas, esgotando o pool de conexões do banco de dados e impedindo que os trabalhos de verificação fossem enfileirados. A falha foi corrigida na versão 0.32.0 do Open VSX, após divulgação responsável em fevereiro de 2026. A situação destaca a importância de um design robusto em pipelines de segurança, onde estados de falha devem ser explicitamente tratados.

O grupo de ameaças da Coreia do Norte, conhecido como WaterPlum, está por trás da campanha Contagious Interview, que utiliza uma nova técnica de distribuição de malware chamada StoatWaffle. Essa técnica envolve o uso de projetos maliciosos do Microsoft Visual Studio Code (VS Code), especificamente através do arquivo ’tasks.json’, que ativa a execução do malware sempre que um arquivo na pasta do projeto é aberto. O malware verifica se o Node.js está instalado e, se não estiver, o baixa e instala. Em seguida, ele se conecta a um servidor externo para baixar um downloader que executa comandos maliciosos. O StoatWaffle possui dois módulos principais: um stealer que captura credenciais de navegadores e um trojan de acesso remoto (RAT) que permite o controle do sistema infectado. A campanha também inclui a distribuição de pacotes npm maliciosos e a inserção de código JavaScript em repositórios públicos do GitHub. Os atacantes utilizam processos de recrutamento falsos para enganar desenvolvedores, visando profissionais seniores em setores como criptomoedas. A Microsoft implementou medidas de mitigação para proteger os usuários do VS Code contra essa ameaça. Essa situação destaca a necessidade de vigilância constante e medidas de segurança robustas para proteger sistemas de desenvolvimento.

Pesquisadores de cibersegurança revelaram múltiplas vulnerabilidades em quatro extensões populares do Microsoft Visual Studio Code (VS Code), que, se exploradas, podem permitir que atacantes roubem arquivos locais e executem códigos remotamente. As extensões afetadas, que somam mais de 125 milhões de instalações, incluem Live Server, Code Runner, Markdown Preview Enhanced e Microsoft Live Preview. As vulnerabilidades identificadas são: CVE-2025-65717, que permite a exfiltração de arquivos locais através de um site malicioso; CVE-2025-65716, que possibilita a execução de JavaScript arbitrário via arquivos markdown; e CVE-2025-65715, que permite a execução de código ao manipular o arquivo ‘settings.json’. A vulnerabilidade no Microsoft Live Preview foi corrigida silenciosamente pela Microsoft. Para mitigar os riscos, recomenda-se desabilitar extensões não essenciais, evitar configurações não confiáveis e manter um firewall ativo. A pesquisa destaca que uma única extensão maliciosa pode comprometer toda uma organização, tornando a segurança das extensões uma prioridade crítica para desenvolvedores e empresas.

Pesquisadores da Koi Security descobriram que duas extensões do Visual Studio Code, chamadas ChatGPT - 中文版 e ChatMoss (CodeMoss), coletam dados de 1,5 milhão de desenvolvedores. Embora funcionem como assistentes de programação, essas ferramentas maliciosas têm acesso irrestrito aos arquivos abertos pelos usuários, registrando todas as edições e enviando essas informações para servidores na China. O spyware embutido nas extensões lê todo o documento assim que o arquivo é aberto, sem necessidade de interação do usuário. Além disso, uma backdoor permite que os atacantes coletem até 50 arquivos com um único comando, dependendo do valor da vítima. Para decidir se vale a pena roubar os arquivos, as extensões utilizam SDKs de analytics que monitoram o comportamento do programador e fazem um perfil detalhado do dispositivo. A situação destaca a necessidade de uma verificação mais rigorosa das ferramentas utilizadas por desenvolvedores, especialmente em um cenário onde as extensões maliciosas podem ter avaliações positivas e serem aprovadas em marketplaces.

A Fundação Eclipse, responsável pelo Open VSX Registry, anunciou a implementação de checagens de segurança antes da publicação de extensões para o Visual Studio Code (VS Code). Essa mudança visa combater ameaças à cadeia de suprimentos, passando de uma abordagem reativa, que apenas remove extensões maliciosas após a publicação, para uma abordagem proativa. Christopher Guindon, diretor de desenvolvimento de software da fundação, destacou que a estratégia atual não é escalável diante do aumento do volume de publicações e da evolução dos modelos de ameaça. O Open VSX Registry tem sido alvo de ataques, como a recente exploração de uma conta de editor comprometida para distribuir atualizações maliciosas. As novas checagens pré-publicação buscarão identificar casos claros de imitação de nomes de extensões, credenciais acidentalmente publicadas e padrões maliciosos conhecidos. Embora a Microsoft já utilize um processo de verificação semelhante em seu Visual Studio Marketplace, a Fundação Eclipse planeja implementar essas checagens de forma gradual durante fevereiro de 2026, com o objetivo de aumentar a segurança e a confiança na plataforma. Essa iniciativa é crucial para proteger desenvolvedores e garantir um ecossistema mais seguro para extensões de código aberto.

Pesquisadores de cibersegurança alertaram sobre uma nova extensão maliciosa do Microsoft Visual Studio Code (VS Code) chamada “ClawdBot Agent - AI Coding Assistant”. Publicada em 27 de janeiro de 2026, a extensão se disfarça como um assistente de codificação baseado em inteligência artificial, mas na verdade instala um payload malicioso nos sistemas dos usuários. A extensão foi rapidamente removida pela Microsoft após a identificação do problema.

O malware, vinculado ao projeto Moltbot, permite que atacantes obtenham acesso remoto persistente aos dispositivos comprometidos. Ao ser instalada, a extensão executa automaticamente um arquivo que baixa um programa legítimo de acesso remoto, o ConnectWise ScreenConnect, permitindo que os invasores controlem o sistema da vítima. Além disso, a extensão possui mecanismos de fallback que garantem a entrega do payload mesmo se a infraestrutura de comando e controle for desativada.

Pesquisadores de cibersegurança descobriram duas extensões maliciosas do Microsoft Visual Studio Code (VS Code) que se apresentam como assistentes de codificação baseados em inteligência artificial, mas que possuem funcionalidades ocultas para roubar dados de desenvolvedores e enviá-los a servidores na China. As extensões, que somam 1,5 milhão de instalações, são ‘ChatGPT - 中文版’ e ‘ChatGPT - ChatMoss（CodeMoss）’. Ambas capturam arquivos abertos e modificações de código, enviando essas informações sem o consentimento dos usuários. O código malicioso é projetado para ler o conteúdo de cada arquivo aberto, codificá-lo em formato Base64 e transmiti-lo para um servidor específico. Além disso, as extensões incluem um recurso de monitoramento em tempo real que pode ser ativado remotamente, permitindo a exfiltração de até 50 arquivos de uma vez. A descoberta foi feita pela Koi Security, que também identificou vulnerabilidades em gerenciadores de pacotes JavaScript que podem ser exploradas para contornar controles de segurança. A situação é alarmante, pois as extensões funcionam como prometido, o que reduz a desconfiança dos usuários. A Microsoft e GitHub foram alertadas sobre as falhas e a necessidade de ações corretivas para proteger a cadeia de suprimentos de software.

Especialistas da Jamf Threat Labs identificaram uma nova campanha de hackers norte-coreanos, chamada Contagious Interview, que visa programadores através de ofertas de emprego atrativas. Os atacantes direcionam as vítimas a repositórios no GitHub, GitLab ou BitBucket, onde projetos maliciosos são apresentados. Ao abrir esses projetos no Microsoft Visual Studio Code (VS Code), os usuários ativam uma backdoor que permite acesso contínuo aos seus computadores. Essa técnica utiliza arquivos de configuração de tarefas do VS Code para executar códigos maliciosos, como os malwares BeaverTail e InvisibleFerret, sempre que um arquivo da pasta do projeto é aberto. Os hackers têm como alvo principal engenheiros de software que trabalham com criptomoedas e fintechs, buscando acesso a bens financeiros e carteiras digitais. A evolução rápida dos malwares e a utilização de métodos sofisticados de infecção tornam esses ataques ainda mais perigosos, dificultando a detecção por antivírus e outras medidas de segurança. A Jamf alerta que a confiança concedida ao autor do repositório facilita a execução do código malicioso, representando uma ameaça significativa para a segurança digital dos programadores.

Atuando sob a campanha Contagious Interview, hackers da Coreia do Norte têm explorado projetos maliciosos do Microsoft Visual Studio Code (VS Code) para implantar um backdoor em sistemas comprometidos. A técnica, descoberta em dezembro de 2025, envolve a instrução de alvos para clonarem repositórios no GitHub, GitLab ou Bitbucket e abrirem o projeto no VS Code como parte de uma avaliação de emprego. O ataque utiliza arquivos de configuração de tarefas do VS Code para executar cargas maliciosas hospedadas em domínios da Vercel, dependendo do sistema operacional da vítima. A configuração permite que comandos maliciosos sejam executados sempre que um arquivo do projeto é aberto. Além disso, os hackers têm disfarçado malware como dicionários de verificação ortográfica para evitar detecções. A comunicação com servidores remotos é estabelecida para facilitar a execução de código e coleta de informações do sistema. Os alvos preferenciais incluem engenheiros de software, especialmente aqueles nas áreas de criptomoeda e fintech, que possuem acesso privilegiado a ativos financeiros. A evolução das táticas dos atacantes reflete uma adaptação contínua para maximizar o sucesso em suas metas de ciberespionagem e financeiras, visando contornar sanções internacionais.

A Microsoft anunciou que a extensão Copilot Studio para o Visual Studio Code (VS Code) está agora acessível a todos os desenvolvedores. Essa ferramenta permite que os usuários construam e gerenciem agentes do Copilot Studio diretamente no VS Code, utilizando fluxos de trabalho padrão de desenvolvimento de software. O VS Code, um editor de código multiplataforma amplamente utilizado, oferece integração com Git e suporte a pipelines de CI/CD, além de permitir a personalização através de extensões.

Pesquisadores de segurança da Koi alertaram sobre um risco significativo em forks populares do Microsoft Visual Studio Code (VS Code), como Cursor e Windsurf. Esses ambientes de desenvolvimento integrados (IDEs) recomendam extensões que não estão registradas no Open VSX, o que pode permitir que atacantes publiquem pacotes maliciosos sob esses nomes. A recomendação de extensões pode ocorrer de duas formas: notificações quando arquivos específicos são abertos ou sugestões baseadas em programas já instalados. O problema é que as extensões recomendadas não existem no Open VSX, e qualquer um pode registrar esses nomes e carregar o que quiser. Um exemplo é a extensão PostgreSQL, que atraiu mais de 500 instalações, levando a um risco de roubo de dados sensíveis. Após a divulgação responsável, algumas plataformas já implementaram correções, e o Eclipse Foundation removeu contribuições não oficiais do Open VSX. Este incidente destaca a necessidade de cautela ao baixar pacotes e a importância de verificar a origem das extensões recomendadas.

Pesquisadores de cibersegurança descobriram duas extensões maliciosas no Marketplace do Microsoft Visual Studio Code (VS Code) que visam infectar máquinas de desenvolvedores com malware do tipo stealer. As extensões, que se apresentavam como um tema escuro premium e um assistente de codificação baseado em inteligência artificial, na verdade, possuíam funcionalidades ocultas para baixar cargas adicionais, capturar telas e roubar dados. As informações coletadas eram enviadas a um servidor controlado por atacantes. As extensões identificadas foram ‘BigBlack.bitcoin-black’, que teve 16 instalações, e ‘BigBlack.codo-ai’, com 25 instalações, ambas removidas pela Microsoft em dezembro de 2025. O malware era capaz de roubar senhas de Wi-Fi, acessar o conteúdo da área de transferência e sequestrar sessões de navegador. Além disso, versões anteriores das extensões permitiam a execução de scripts PowerShell para baixar arquivos maliciosos. O ataque destaca a vulnerabilidade de ferramentas amplamente utilizadas por desenvolvedores e a necessidade de vigilância constante em relação a pacotes de software. O incidente é um alerta sobre a segurança na cadeia de suprimentos de software, especialmente em um cenário onde pacotes maliciosos também foram identificados em outras plataformas como Go e npm.

Pesquisadores de cibersegurança identificaram uma extensão maliciosa para o Visual Studio Code (VS Code) chamada ‘susvsex’, que possui capacidades básicas de ransomware. Criada com auxílio de inteligência artificial, a extensão foi carregada em 5 de novembro de 2025, e não esconde suas funcionalidades maliciosas. Ao ser ativada, ela compacta, faz upload e criptografa arquivos de diretórios específicos do sistema operacional, como C:\Users\Public\testing no Windows e /tmp/testing no macOS. A Microsoft removeu a extensão do Marketplace do VS Code no dia seguinte à sua descoberta. Além da criptografia, a extensão utiliza um repositório privado no GitHub como canal de comando e controle (C2), onde busca novas instruções. O desenvolvedor, que se apresenta como residente de Baku, Azerbaijão, deixou evidências que podem facilitar a exploração por outros atacantes. Em um incidente separado, 17 pacotes npm foram encontrados disfarçados como kits de desenvolvimento, mas que executam o infostealer Vidar em sistemas infectados. Esses pacotes foram baixados mais de 2.240 vezes antes de serem removidos, destacando a necessidade de vigilância constante na cadeia de suprimentos de software.

Uma investigação recente revelou uma campanha cibernética que explora extensões maliciosas do Visual Studio Code (VS Code) para disseminar ransomware, utilizando repositórios do GitHub como parte de sua infraestrutura de comando e controle (C2). Os pesquisadores identificaram várias extensões no Marketplace do Visual Studio que continham cargas ocultas disfarçadas de utilitários legítimos para desenvolvedores. Após a instalação, esses pacotes executavam JavaScript ofuscado que lançava comandos do PowerShell. Os scripts maliciosos recuperavam cargas secundárias de repositórios do GitHub sob contas aparentemente benignas.

O malware GlassWorm representa uma nova ameaça no cenário de ataques à cadeia de suprimentos, sendo o primeiro worm a atacar extensões do VS Code no marketplace OpenVSX. Detectado inicialmente na ferramenta de produtividade CodeJoy, o malware utiliza caracteres especiais de Unicode que aparecem como espaços em branco, tornando o código invisível tanto para revisores humanos quanto para ferramentas de análise automática. Após a instalação, o GlassWorm coleta credenciais sensíveis, como tokens do NPM e credenciais do GitHub, além de escanear extensões de carteiras de criptomoedas para drenar fundos. O malware opera com uma infraestrutura de comando e controle descentralizada, utilizando a blockchain Solana para comunicação, o que torna sua remoção extremamente difícil. Além disso, ele emprega eventos do Google Calendar para garantir a persistência de sua operação. Com mais de 35 mil instalações detectadas, o GlassWorm exemplifica os riscos exponenciais que os worms modernos representam para desenvolvedores e usuários. A situação exige atenção redobrada das equipes de segurança, especialmente em um ambiente onde a revisão de código se mostrou insuficiente para detectar tais ameaças.

Uma nova pesquisa revelou que mais de 100 extensões do Visual Studio Code (VS Code) vazaram tokens de acesso, permitindo que atacantes atualizassem essas extensões com malware, representando um risco crítico à cadeia de suprimentos de software. Os pesquisadores da Wiz identificaram mais de 550 segredos validados em mais de 500 extensões, incluindo tokens de acesso pessoal do VS Code Marketplace e do Open VSX, que poderiam ser explorados por cibercriminosos. Com uma base de instalação acumulada de 150.000, a possibilidade de distribuição de malware é alarmante. Além disso, um grupo de ameaças conhecido como TigerJack publicou extensões maliciosas que roubam código-fonte e mineram criptomoedas, utilizando uma abordagem de cavalo de Troia para enganar desenvolvedores. A Microsoft respondeu ao problema revogando os tokens vazados e implementando recursos de verificação de segredos. Os usuários do VS Code são aconselhados a limitar o número de extensões instaladas e a revisar cuidadosamente as extensões antes de baixá-las.