Исследователи Reversing Labs сообщают, что вредоносные расширения на маркетплейсе VSCode впервые появились в октябре. Кампания включает в себя 18 вредоносных расширений, ориентированных в первую очередь на инвесторов в криптовалюту и разработчиков.

💱 Для повышения легитимности и доверия к расширениям злоумышленники добавляют фальшивые отзывы и завышают количество установок.

🚨 Список вредоносных расширений:
⏺️EVM.Blockchain-Toolkit
⏺️VoiceMod.VoiceMod
⏺️ZoomVideoCommunications.Zoom
⏺️ZoomINC.Zoom-Workplace
⏺️Ethereum.SoliditySupport
⏺️ZoomWorkspace.Zoom (three versions)
⏺️ethereumorg.Solidity-Language-for-Ethereum
⏺️VitalikButerin.Solidity-Ethereum (two versions)
⏺️SolidityFoundation.Solidity-Ethereum
⏺️EthereumFoundation.Solidity-Language-for-Ethereum (two versions)
⏺️SOLIDITY.Solidity-Language
⏺️GavinWood.SolidityLang (two versions)
⏺️EthereumFoundation.Solidity-for-Ethereum-Language

✏️ Исследователи сообщают, что все расширения имеют одинаковую вредоносную функцию и дополнительные файлы, поставляемые с ними представляют из себя обфусцированные скрипты .bat или .cmd, которые скрытно запускают Powershell. Скрипт же, в свою очередь, расшифрует строки, зашифрованные с помощью AES, чтобы внедрить дополнительные вредоносные программы в скомпрометированную систему и запустить их.
При этом происходит взаимодействие со следующими доменами: microsoft-visualstudiocode[.]com и captchacdn[.]com.