VSCode 市场发现恶意扩展正在传播勒索软件!

在VSCode 市场中发现了两个隐藏着勒索软件的恶意扩展。其中一个于去年 10 月出现在微软商店,但很长时间没有引起注意。

这些是扩展ahban.shiba 和 ahban.cychelloworld,目前已从商店中删除。

此外,ahban.cychelloworld 扩展于 2024 年 10 月 27 日上传到商店,ahban.shiba 于 2025 年 2 月 17 日上传到商店,绕过了所有安全检查。

该恶意软件是由 ReversingLabs 的专家发现的 ,他们写道,这两个扩展都包含一个 PowerShell 命令,该命令从远程 Amazon AWS 服务器下载并执行另一个 PowerShell 脚本。该脚本负责传播勒索软件。

据研究人员称,该勒索软件显然处于开发或测试阶段,因为它目前仅加密 C:\users\%username%\Desktop\testShiba 文件夹中的文件,不会触及任何其他文件。

加密完成后,脚本会在屏幕上显示一条警告:

"您的文件已加密。要恢复它们,请向 ShibaWallet 支付 1 ShibaCoin。"与传统的勒索软件攻击不同,没有额外的说明或其他要求。

在 ReversingLabs 研究人员向微软通报勒索软件后,该公司迅速从 VSCode 市场中删除了这两个扩展。

ExtensionTotal 安全研究员 Italy Kruk 此前曾运行过自动扫描,并在 VSCode 市场中检测到了这些恶意扩展,但这位专家未能联系到该公司的代表。

骗子解释道,ahban.cychelloworld 原本并不是恶意的,勒索软件是在 0.0 版本上传后出现的。

该扩展于2024年11月24日被接受到VSCode市场。此后,ahban.cychelloworld扩展又收到了五次更新,所有更新都包含恶意代码。

我们于 2024 年 11 月 25 日通过扫描仪自动生成的报告向微软报告了 ahban.cychelloworld。

可能是由于此扩展程序的安装数量较少,微软没有优先处理该消息。

专家指出,这两个扩展程序都下载并执行了远程 PowerShell 脚本,但几个月来却未被发现,这清楚地表明微软的验证流程存在严重缺陷。

相关推荐
大叔比较胖3 小时前
VSCode 用于JAVA开发的环境配置,JDK为1.8版本时的配置
java·ide·vscode·jdk·1.8
jayson.h5 小时前
VScode
ide·vscode·编辑器
想学好英文的ikun6 小时前
【MCP】第二篇:IDE革命——用MCP构建下一代智能工具链
ide·人工智能·python·ai·个人开发·mcp
三体世界6 小时前
Linux 管道理解
linux·c语言·开发语言·c++·git·vscode·visual studio
八股文领域大手子7 小时前
IDEA热加载
java·ide·intellij-idea
EQ-雪梨蛋花汤7 小时前
【Unity笔记】Unity音效管理:ScriptableObject配置 + 音量控制 + 编辑器预览播放自动化实现
笔记·unity·编辑器
dustcell.8 小时前
vim 命令复习
linux·编辑器·vim
拾贰_C9 小时前
【IDEA】怎么修改IDEA的JDK版本
java·ide·intellij-idea
承接电子控制相关项目9 小时前
开发工具KEIL iar VSCODE 优缺点对比
ide·vscode·单片机·自动化·编辑器
zcongfly11 小时前
【随手记】jupyter notebook绘制交互式图像
ide·python·jupyter