VSCode 市场发现恶意扩展正在传播勒索软件!

在VSCode 市场中发现了两个隐藏着勒索软件的恶意扩展。其中一个于去年 10 月出现在微软商店,但很长时间没有引起注意。

这些是扩展ahban.shiba 和 ahban.cychelloworld,目前已从商店中删除。

此外,ahban.cychelloworld 扩展于 2024 年 10 月 27 日上传到商店,ahban.shiba 于 2025 年 2 月 17 日上传到商店,绕过了所有安全检查。

该恶意软件是由 ReversingLabs 的专家发现的 ,他们写道,这两个扩展都包含一个 PowerShell 命令,该命令从远程 Amazon AWS 服务器下载并执行另一个 PowerShell 脚本。该脚本负责传播勒索软件。

据研究人员称,该勒索软件显然处于开发或测试阶段,因为它目前仅加密 C:\users\%username%\Desktop\testShiba 文件夹中的文件,不会触及任何其他文件。

加密完成后,脚本会在屏幕上显示一条警告:

"您的文件已加密。要恢复它们,请向 ShibaWallet 支付 1 ShibaCoin。"与传统的勒索软件攻击不同,没有额外的说明或其他要求。

在 ReversingLabs 研究人员向微软通报勒索软件后,该公司迅速从 VSCode 市场中删除了这两个扩展。

ExtensionTotal 安全研究员 Italy Kruk 此前曾运行过自动扫描,并在 VSCode 市场中检测到了这些恶意扩展,但这位专家未能联系到该公司的代表。

骗子解释道,ahban.cychelloworld 原本并不是恶意的,勒索软件是在 0.0 版本上传后出现的。

该扩展于2024年11月24日被接受到VSCode市场。此后,ahban.cychelloworld扩展又收到了五次更新,所有更新都包含恶意代码。

我们于 2024 年 11 月 25 日通过扫描仪自动生成的报告向微软报告了 ahban.cychelloworld。

可能是由于此扩展程序的安装数量较少,微软没有优先处理该消息。

专家指出,这两个扩展程序都下载并执行了远程 PowerShell 脚本,但几个月来却未被发现,这清楚地表明微软的验证流程存在严重缺陷。

相关推荐
携欢4 小时前
CodeQL(Mac)安装与测试(Visual Studio)简明指南
ide·vscode·macos
Android小码家6 小时前
Vscode + docker + qt 网络监听小工具
vscode·qt·docker
中国胖子风清扬6 小时前
Rust 序列化技术全解析:从基础到实战
开发语言·c++·spring boot·vscode·后端·中间件·rust
虫无涯9 小时前
【分享】基于百度脑图,并使用Vue二次开发的用例脑图编辑器组件
前端·vue.js·编辑器
程序员的世界你不懂9 小时前
【Flask】测试平台中,记一次在vue2中集成编辑器组件tinymce
编辑器
susu108301891110 小时前
如何选择文件夹然后用vscode直接打开
ide·vscode·编辑器
非得登录才能看吗?10 小时前
开发环境 之 编辑器、编译器、IDE梳理
ide·编辑器
艾莉丝努力练剑13 小时前
GCC编译器深度解剖:从源码到可执行文件的全面探索
c++·ide·经验分享·gcc
熊猫钓鱼>_>14 小时前
在VSCode中更新或安装最新版的npx和uv工具
ide·vscode·uv
ONLYOFFICE14 小时前
【技术教程】如何将文档编辑器集成至基于Java的Web应用程序
java·编辑器·onlyoffice