Badacze cyberbezpieczeństwa z ReversingLabs zidentyfikowali krytyczną lukę w Visual Studio Code Marketplace, która pozwala cyberprzestępcom ponownie publikować złośliwe rozszerzenia pod nazwami wcześniej usuniętych.
🔍 Co odkryto?
- Złośliwe rozszerzenie „ahbanC.shiba” naśladowało wcześniej oznaczone rozszerzenia (ahban.shiba, ahban.cychelloworld).
- Działały one jako downloadery ładunków ransomware, szyfrując pliki i żądając okupu w tokenach Shiba Inu.
- Chociaż VS Code wymaga unikalnych nazw, badacze odkryli, że usunięte nazwy stają się dostępne do ponownego użycia przez każdego.
- Podobne problemy występują w PyPI, choć PyPI ogranicza ponowne użycie nazw powiązanych ze złośliwymi pakietami — to zabezpieczenie, którego brakuje w VS Code.
📌 Szerszy wpływ
- Wycieknięte czaty Black Basta pokazują, że grupy ransomware aktywnie atakują rejestry open source.
- ReversingLabs zidentyfikował też 8 złośliwych pakietów npm dostarczających stealery Chrome przez 70 warstw zaciemnionego kodu.
- Kradzione dane obejmują hasła, karty kredytowe, portfele kryptowalutowe i pliki cookie.
⚠️ Dlaczego to ważne
Repozytoria open source to coraz większa powierzchnia ataku:
- Atakujący wykorzystują typosquatting, podszywanie się i ponowne użycie nazw pakietów.
- Ryzyko dotyczy programistów, przedsiębiorstw i użytkowników końcowych.
🔐 Zalecenia
- Organizacje muszą wymuszać bezpieczne programowanie i monitorowanie zależności.
- Wdrażaj rozwiązania do automatycznego skanowania i SBOM (zestawienia komponentów oprogramowania).
- Traktuj usunięte rozszerzenia i pakiety jako potencjalne wektory ataku.
W Alcaeus Services pomagamy organizacjom bronić się przed atakami na łańcuch dostaw oprogramowania, zabezpieczając zależności open source, automatyzując skanowanie pod kątem podatności i zapewniając pełną widoczność w całym cyklu życia oprogramowania.
