安全研究員最新發(fā)現(xiàn)，一款隱蔽的惡意攻擊活動(dòng)自2月起持續(xù)活躍，攻擊者在微軟VS Code應(yīng)用市場(chǎng)上架19款惡意擴(kuò)展程序，通過(guò)在依賴文件夾中植入惡意軟件的方式，專門針對(duì)開(kāi)發(fā)者發(fā)起攻擊。調(diào)查顯示攻擊者使用了一個(gè)偽裝成.PNG格式圖片的惡意文件實(shí)施攻擊。

VS Code應(yīng)用市場(chǎng)是微軟為其廣受歡迎的VS Code集成開(kāi)發(fā)環(huán)境（IDE）打造的官方擴(kuò)展門戶，開(kāi)發(fā)者可通過(guò)該平臺(tái)下載擴(kuò)展程序，實(shí)現(xiàn)功能拓展或界面?zhèn)€性化定制。

由于該平臺(tái)用戶基數(shù)龐大，且存在引發(fā)高危害性供應(yīng)鏈攻擊的潛在風(fēng)險(xiǎn)，一直以來(lái)都是威脅者的重點(diǎn)攻擊目標(biāo)，相關(guān)攻擊手段也在不斷迭代升級(jí)。

據(jù)觀察，這些惡意擴(kuò)展程序均預(yù)先打包了node_modules文件夾，以此規(guī)避VS Code在安裝過(guò)程中從npm軟件源獲取依賴組件的流程。

攻擊者在這個(gè)內(nèi)置的依賴文件夾中植入了經(jīng)過(guò)篡改的依賴包，涉及path-is-absolute與@actions/io兩款組件，并在其index.js文件中添加了一個(gè)惡意類。該惡意類會(huì)在VS Code集成開(kāi)發(fā)環(huán)境啟動(dòng)時(shí)自動(dòng)執(zhí)行。

惡意代碼添加到index.js文件

需要特別指出的是，path-is-absolute是一款在npm平臺(tái)上極為熱門的軟件包，自2021年以來(lái)累計(jì)下載量已達(dá)數(shù)十億次，而此次被植入惡意代碼的版本僅存在于該攻擊活動(dòng)涉及的19款擴(kuò)展程序中。

index.js文件中新增的惡意類，會(huì)對(duì)一個(gè)名為lock的文件內(nèi)的混淆型JavaScript投放程序進(jìn)行解碼。此外，依賴文件夾中還包含一個(gè)偽裝成.PNG圖片文件（文件名為banner.png）的壓縮包，其中藏匿著兩款惡意二進(jìn)制文件：一款是名為cmstp.exe的合法系統(tǒng)工具濫用程序（LoLBin） ，另一款則是基于Rust語(yǔ)言開(kāi)發(fā)的木馬程序。

目前，安全研究員仍在對(duì)這款木馬程序展開(kāi)分析，以明確其全部功能。

研究人員表示，該攻擊活動(dòng)涉及的19款VS Code惡意擴(kuò)展程序，名稱均基于以下名稱變體衍生而來(lái)，且發(fā)布版本號(hào)均為1.0.0：

·Malkolm Theme

·PandaExpress Theme

·Prada 555 Theme

·Priskinski Theme

目前，涉事的19款惡意擴(kuò)展程序現(xiàn)已全部被下架處理。但對(duì)于此前已安裝這些擴(kuò)展程序的用戶而言，需立即對(duì)自身系統(tǒng)進(jìn)行掃描，排查是否存在被入侵的痕跡。

鑒于威脅者持續(xù)開(kāi)發(fā)新手段，規(guī)避軟件開(kāi)發(fā)常用公共代碼倉(cāng)庫(kù)的安全檢測(cè)，安全人員建議用戶在安裝各類擴(kuò)展程序前務(wù)必對(duì)軟件包進(jìn)行全面檢查，尤其是當(dāng)發(fā)布方并非信譽(yù)良好的正規(guī)廠商時(shí)。

用戶應(yīng)仔細(xì)梳理軟件包中包含的所有依賴組件，特別是像VS Code擴(kuò)展程序這類將依賴組件內(nèi)置打包、而非從npm等可信源獲取的情況，更需提高警惕。

參考及來(lái)源：https://www.bleepingcomputer.com/news/security/malicious-vscode-marketplace-extensions-hid-trojan-in-fake-png-file/