Uma campanha envolvendo 19 extensões de Visual Studio (VS) Code que incorporam malware em suas pastas de dependência foi descoberta por pesquisadores de cibersegurança.
Ativa desde fevereiro de 2025, mas identificada em 2 de dezembro, a operação usou um pacote npm legítimo para disfarçar arquivos prejudiciais e agrupou binários maliciosos em um arquivo disfarçado de imagem PNG.
Essa abordagem, observada pelo ReversingLabs (RL), permitiu que atacantes burlassem verificações convencionais e mirassem diretamente os desenvolvedores.
Táticas de Phishing em Evolução
Uma nova onda de extensões maliciosas do VS Code tem circulado ao longo de 2025, com a ReversingLabs observando uma ascensão constante em uploads suspeitos para o VS Code Marketplace.
Algumas extensões imitam ferramentas populares, enquanto outras anunciam novos recursos, mas executam secretamente código indesejado. Até extensões confiáveis podem ser comprometidas: em julho, uma solicitação de puxada maliciosa contaminado um projeto legítimo simplesmente adicionando uma dependência prejudicial.
Nesta nova campanha, os atacantes incorporaram uma versão modificada do pacote npm path-is-absolute nas pastas node_modules extensões.
O pacote original é amplamente utilizado, com mais de 9 bilhões de downloads desde 2021, mas a versão alterada incluiu uma classe projetada para disparar malware quando o VS Code inicia. Seu objetivo era decodificar um dropper JavaScript armazenado em um arquivo chamado “lock”.
Os atacantes também incluíam um arquivo chamado banner.png, que parecia inofensivo, mas era aberto como um arquivo contendo dois binários.
O dropper lançava esses arquivos via cmstp.exe, um binário comum de viver da terra (LOLBIN). Um executável encerrou o processo simulando uma pressão de tecla, enquanto o outro era um Trojan baseado em Rust que ainda estava sendo analisado na época deste relatório.
Uma Ameaça Crescente aos Desenvolvedores
O ReversingLabs disse que, enquanto a maioria das extensões maliciosas dependia da dependência modificada de path is-is-absoluto, outras quatro em vez disso armaram o pacote npm @actions/io, armazenando a carga útil entre arquivos TypeScript e mapas em vez de usar o PNG disfarçado.
Embora as técnicas fossem diferentes, o objetivo permaneceu o mesmo: executar malware de forma secreta através de componentes confiáveis.
Detectar extensões maliciosas de VS Code tornou-se cada vez mais urgente, alertou a ReversingLabs. A empresa afirmou que as detecções cresceram de 27 em 2024 para 105 nos primeiros 10 meses de 2025.
Para reduzir riscos, as equipes são incentivadas a:
-
Inspecione as extensões antes da instalação
-
Audite todas as dependências agrupadas
-
Use ferramentas de segurança capazes de avaliar o comportamento dos pacotes
“Ficar seguro não é evitar extensões completamente – é reconhecer que até componentes confiáveis podem ser adulterados,”A ReversingLabs disse.
“Todas as extensões mencionadas foram reportadas à Microsoft.”