Badacze odkryli złośliwe rozszerzenie Visual Studio Code, które po cichu instaluje trojana zdalnego dostępu (RAT) o nazwie SleepyDuck, co jest kolejnym wyrafinowanym atakiem na ekosystem programistów.
Odkrycie
Badacz bezpieczeństwa John Tuckner (Secure Annex) poinformował, że rozszerzenie juan-bianco.solidity-vlang zostało początkowo wgrane do rejestru Open VSX 31 października 2025 r. jako nieszkodliwa biblioteka Solidity.
Dzień później, 1 listopada, zaktualizowano je do wersji 0.0.8 z nową, złośliwą funkcjonalnością — po przekroczeniu 14 000 pobrań.
„Malware zawiera techniki unikania piaskownic i wykorzystuje kontrakt Ethereum do aktualizacji swojego adresu C2, jeśli oryginalny zostanie wyłączony” — wyjaśnił Tuckner.
Jak działa SleepyDuck
Po zainstalowaniu złośliwe rozszerzenie aktywuje się, gdy:
- zostanie otwarte nowe okno edytora kodu lub
- zostanie otwarty plik .sol (Solidity).
Następnie:
- Łączy się z najszybszym dostawcą Ethereum Remote Procedure Call (RPC).
- Pobiera dane dowodzenia i kontroli (C2) za pośrednictwem inteligentnego kontraktu
0xDAfb81732db454DA238e9cFC9A9Fe5fb8e34c465. - Komunikuje się z domeną sleepyduck[.]xyz co 30 sekund, aby odpytywać o polecenia.
- Wykrada szczegóły systemu, takie jak nazwa hosta, nazwa użytkownika, adres MAC i strefa czasowa.
- Aktualizuje dane C2 za pośrednictwem blockchaina Ethereum, jeśli główny serwer zostanie wyłączony — rzadki przykład trwałości wspieranej przez blockchain.
Złośliwe oprogramowanie zawiera także mechanizm awaryjny umożliwiający wydawanie „poleceń awaryjnych” na zainfekowanych punktach końcowych.
Możliwa manipulacja liczbą pobrań
Analitycy podejrzewają, że liczba ponad 14 000 pobrań została sztucznie zawyżona, aby poprawić widoczność w wynikach wyszukiwania — to częsta taktyka stosowana do wabienia niczego niepodejrzewających programistów.
„Liczba pobrań prawdopodobnie została zmanipulowana” — powiedział Tuckner. „Robi się to po to, by rozszerzenie wyświetlało się wyżej w wynikach wyszukiwania w Cursor/Open VSX.”
Znaleziono więcej złośliwych rozszerzeń
Secure Annex zidentyfikował także zestaw pięciu dodatkowych rozszerzeń VS Code opublikowanych przez użytkownika o nazwie developmentinc, w tym wtyczkę o tematyce Pokémon, która:
- Pobiera skrypt wsadowy z mock1[.]su,
- Uruchamia go z uprawnieniami administratora,
- Wyłącza wykluczenia Microsoft Defender i
- Instaluje koparkę kryptowaluty Monero.
Zostały one już usunięte z marketplace’u.
Ochrona i dobre praktyki
- ⚙️ Instaluj rozszerzenia wyłącznie od zweryfikowanych wydawców.
- 🔍 Sprawdzaj stronę RemovedPackages na GitHubie Microsoftu pod kątem usuniętych lub złośliwych rozszerzeń.
- 💾 Dbaj o aktualność Visual Studio Code i rozszerzeń.
- 🧰 Stosuj monitoring punktów końcowych i widoczność EDR na stacjach roboczych programistów.
Spostrzeżenia Alcaeus Services
Ten incydent pokazuje, jak coraz częściej ekosystemy programistyczne są wykorzystywane do ataków na łańcuch dostaw oprogramowania.
W Alcaeus Services pomagamy organizacjom zabezpieczać potoki wytwarzania oprogramowania poprzez:
- Audyt rozszerzeń edytorów kodu i zależności.
- Wdrażanie przestrzeni roboczej programisty w modelu Zero Trust.
- Wdrażanie monitoringu zagrożeń dla repozytoriów kodu i marketplace’ów.
Programiści są nowym celem — chroń swoje narzędzia tak samo jak swój kod.
