VSCode 市场发现恶意扩展正在传播勒索软件!

在VSCode 市场中发现了两个隐藏着勒索软件的恶意扩展。其中一个于去年 10 月出现在微软商店,但很长时间没有引起注意。

这些是扩展ahban.shiba 和 ahban.cychelloworld,目前已从商店中删除。

此外,ahban.cychelloworld 扩展于 2024 年 10 月 27 日上传到商店,ahban.shiba 于 2025 年 2 月 17 日上传到商店,绕过了所有安全检查。

该恶意软件是由 ReversingLabs 的专家发现的 ,他们写道,这两个扩展都包含一个 PowerShell 命令,该命令从远程 Amazon AWS 服务器下载并执行另一个 PowerShell 脚本。该脚本负责传播勒索软件。

据研究人员称,该勒索软件显然处于开发或测试阶段,因为它目前仅加密 C:\users\%username%\Desktop\testShiba 文件夹中的文件,不会触及任何其他文件。

加密完成后,脚本会在屏幕上显示一条警告:

"您的文件已加密。要恢复它们,请向 ShibaWallet 支付 1 ShibaCoin。"与传统的勒索软件攻击不同,没有额外的说明或其他要求。

在 ReversingLabs 研究人员向微软通报勒索软件后,该公司迅速从 VSCode 市场中删除了这两个扩展。

ExtensionTotal 安全研究员 Italy Kruk 此前曾运行过自动扫描,并在 VSCode 市场中检测到了这些恶意扩展,但这位专家未能联系到该公司的代表。

骗子解释道,ahban.cychelloworld 原本并不是恶意的,勒索软件是在 0.0 版本上传后出现的。

该扩展于2024年11月24日被接受到VSCode市场。此后,ahban.cychelloworld扩展又收到了五次更新,所有更新都包含恶意代码。

我们于 2024 年 11 月 25 日通过扫描仪自动生成的报告向微软报告了 ahban.cychelloworld。

可能是由于此扩展程序的安装数量较少,微软没有优先处理该消息。

专家指出,这两个扩展程序都下载并执行了远程 PowerShell 脚本,但几个月来却未被发现,这清楚地表明微软的验证流程存在严重缺陷。

相关推荐
木头没有瓜4 小时前
vscode离线安装插件
ide·vue.js·vscode
lls2336 小时前
恢复idea文件目录
ide
NeRF_er7 小时前
使用 VScode Debug加不上断点的原因
ide·vscode·编辑器
GHL2842710907 小时前
error MSB8041: 此项目需要 MFC 库。从 Visual Studio 安装程序(单个组件选项卡)为正在使用的任何工具集和体系结构安装它们。
ide·visual studio
专注VB编程开发20年11 小时前
javascript的类,ES6模块写法在VSCODE中智能提示
开发语言·javascript·vscode
MediaTea15 小时前
Python 编辑器:Thonny
编辑器
笑醉踏歌行1 天前
idea应用代码配色网站
java·ide·intellij-idea
山顶望月川1 天前
并行科技MaaS平台支持文心4.5系列开源模型调用
人工智能·机器学习·编辑器
韩初心1 天前
使用 visual studio 2022 编译 Lua5.4.8
ide·visual studio·lua5.4
GDAL1 天前
Node.js REPL 教程
node.js·编辑器·vim