江蘇
關鍵詞
惡意軟件
網絡安全研究人員發現了一場涉及19個Visual Studio Code擴展的攻擊活動，這些擴展在其依賴文件夾中嵌入了惡意軟件。
該活動自2025年2月開始活躍，于12月2日被識別。攻擊者利用一個合法的npm包來偽裝惡意文件，并將惡意二進制文件捆綁在一個偽裝成PNG圖像的存檔文件中。
ReversingLabs觀察到的這種手法使攻擊者能夠繞過常規檢查，直接針對開發人員。
網絡釣魚手段的演變
2025年以來，一波新的惡意VS Code擴展不斷傳播。ReversingLabs指出，VS Code Marketplace上的可疑上傳數量持續上升。
一些擴展模仿流行工具，另一些則宣傳新功能但暗中執行惡意代碼。即使是受信任的擴展也可能被攻陷：今年7月，一個惡意拉取請求通過添加有害依賴項污染了一個合法項目。
在這次新的攻擊活動中，攻擊者在擴展的node_modules文件夾中嵌入了經過修改的npm包path-is-absolute。
該原始包自2021年以來已被下載超過90億次，但修改后的版本包含一個類，旨在VS Code啟動時觸發惡意軟件。其目的是解碼存儲在名為“lock”的文件中的JavaScript投放器。
攻擊者還包含了一個名為banner.png的文件，該文件看似無害，但實際上是一個包含兩個二進制文件的存檔。
投放器通過常見的離地生存二進制文件（LOLBIN）cmstp.exe啟動這些文件。其中一個可執行文件通過模擬按鍵操作來關閉進程，另一個則是基于Rust的木馬程序，截至報道時仍在分析中。
對開發人員日益增長的威脅
ReversingLabs表示，雖然大多數惡意擴展依賴修改后的path-is-absolute依賴項，但其他四個擴展則利用了npm包@actions/io，將有效負載存儲在TypeScript和映射文件中，而非使用偽裝的PNG文件。
盡管技術手段不同，但目標一致：通過受信任的組件秘密執行惡意軟件。
ReversingLabs警告稱，檢測惡意VS Code擴展已變得日益緊迫。該公司表示，檢測數量從2024年的27個增加到2025年前10個月的105個。
為降低風險，建議團隊：
在安裝前檢查擴展
審計所有捆綁的依賴項
使用能夠評估包行為的安全工具
“保持安全并非完全避免使用擴展，而是要認識到即使受信任的組件也可能被篡改，”ReversingLabs表示。
“所有提及的擴展均已向微軟報告。”
安全圈
網羅圈內熱點 專注網絡安全
實時資訊一手掌握！
好看你就分享 有用就點個贊
支持「安全圈」就點個三連吧！
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
