Visual Studio Code: Microsoft hat ein ernstes Sicherheitsproblem

Programmierer, die mit Microsofts Entwicklungsumgebung Visual Studio Code arbeiten, sollten vorsichtig bei der Installation von Erweiterungen sein - auch wenn diese vom offiziellen VSCode-Marktplatz heruntergeladen wurden.

Buchstabendreher reicht

Israelische Sicherheitsforscher haben ein Experiment durchgeführt, um herauszufinden, wie einfach man Malware über den Marktplatz an Entwickler verteilen kann. Es stellte sich heraus, dass es hier keine nennenswerten Hindernisse gab. Weitergehende Prüfungen zeigen, dass kriminelle Akteure schon auf die gleiche Idee kamen und damit Erfolg hatten.

Für ihr jüngstes Experiment erstellten die Sicherheitsforscher eine Erweiterung, die das Theme "Dracula Official" imitiert. Dabei handelt es sich um ein beliebtes Farbschema für verschiedene Anwendungen mit über 7 Millionen Installationen auf dem VSCode-Marktplatz. Ihre Kopie nannten sie einfach "Darcula", statteten es also einfach mit einem Buchstabendreher aus, der nicht unbedingt sofort auffällt.


Parallel registrierte man auch die Domain "darculatheme.com". Diese wurde verwendet, um ein verifizierter Herausgeber auf dem VSCode-Marktplatz zu werden, was die Glaubwürdigkeit der gefälschten Erweiterung erhöhte, berichtet das US-Magazin BleepingComputer.

Die Erweiterung verwendet den tatsächlichen Code des originalen Themes, enthält aber auch ein zusätzliches Skript, das Systeminformationen sammelt - einschließlich des Hostnamens, der Anzahl der installierten Erweiterungen, des Domänennamens des Geräts und der Betriebssystemplattform. Diese Informationen werden über eine HTTPS-POST-Anfrage an einen Remote-Server gesendet.

Ein massives Problem

Die Forscher stellen fest, dass der bösartige Code von Security-Tools wie Endpoint Detection and Response (EDR) nicht erkannt wird, da VSCode aufgrund seiner Eigenschaft als Entwicklungs- und Testsystem mit Nachsicht behandelt wird. "VSCode ist darauf ausgelegt, viele Dateien zu lesen, viele Befehle auszuführen und untergeordnete Prozesse zu erstellen, sodass EDRs nicht erkennen können, ob es sich bei der Aktivität von VSCode um legitime Entwickleraktivitäten oder eine bösartige Erweiterung handelt", erklärte der Sicherheitsforscher Amit Assaraf.

Die gefälschte Erweiterung fand schnell Verbreitung und wurde von mehreren hochrangigen Zielen installiert, darunter einem börsennotierten Unternehmen mit einer Marktkapitalisierung von 483 Milliarden Dollar, einigen großen Sicherheitsfirmen und einem nationalen Justiznetzwerk. Nach dieser Erkenntnis suchten die Forscher auch nach echten bösartigen Erweiterungen - und wurden fündig: 1283 Erweiterungen stehen unter Verdacht, Schadcode mitzubringen. Diese sind zusammengenommen auf 229 Millionen VSCode-Systemen installiert.

Download Microsoft Visual Studio Code - Code-Editor
Siehe auch: