Visual Studio Code: Erweiterungen bringen Malware mit (Update)

Microsoft hat zwei ziemlich beliebte Erweiterungen für Visual Studio Code - "Material Theme - Free" und "Material Theme Icons - Free" - aus dem Marketplace für Visual Studio Code entfernt. Grund dafür ist der Verdacht, dass diese schädlichen Code mitbringen.

Microsoft reagiert radikal

Die beiden Erweiterungen erfreuten sich großer Beliebtheit und wurden insgesamt fast neun Millionen Mal heruntergeladen. Nutzer erhielten nun in VS Code eine Benachrichtigung, dass diese Extensions automatisch deaktiviert wurden. Erneute Downloads sind erst einmal auch nicht möglich.

Die Entdeckung des mutmaßlich bösartigen Codes geht auf die Sicherheitsforscher Amit Assaraf und Itay Kruk zurück, die sich auf die Analyse von VSCode-Erweiterungen spezialisiert haben. In einem aktuellen Bericht erklärten sie, dass sie verdächtigen Code in den betroffenen Erweiterungen gefunden und ihre Erkenntnisse an Microsoft weitergeleitet haben.


Laut einer Mitteilung eines Microsoft-Mitarbeiters hat das Unternehmen daraufhin nicht nur die beiden Erweiterungen entfernt, sondern auch den Entwickler aus dem Marketplace verbannt. Microsoft bestätigte, dass die Sicherheitsanalyse durch die Community mehrere Hinweise auf böswillige Absichten ergeben habe, die durch Microsofts eigene Experten weiter untermauert wurden.

Die Sicherheitsforscher berichteten gegenüber BleepingComputer, dass ihr Scanner verdächtige Aktivitäten im Code der Erweiterungen entdeckte. Sie gehen davon aus, dass der bösartige Code durch ein Update eingeführt wurde, entweder durch eine Supply-Chain-Attacke oder eine Kompromittierung des Entwicklerkontos. Besonders auffällig sei gewesen, dass Themes in der Regel statische JSON-Dateien seien und keinen Code ausführen sollten. Zudem entdeckten die Forscher stark verschleierten JavaScript-Code in den "release-notes.js"-Dateien, der mehrfach auf Benutzername- und Passwort-Felder verwies.

Kritik an Microsoft

Der Entwickler Mattia Astorino wies die Vorwürfe zurück und erklärte, dass das Problem auf eine veraltete Sanity.io-Abhängigkeit zurückzuführen sei, die bereits seit 2016 genutzt wird und nun kompromittiert worden sei. Er kritisiert Microsoft dafür, ihn nicht im Vorfeld kontaktiert zu haben, sondern stattdessen sofort alle seine Erweiterungen zu entfernen.

Microsoft kündigte an, weitere Details zu der Angelegenheit auf dem VS Marketplace GitHub-Repository zu veröffentlichen. Bis zur vollständigen Klärung der Situation wird empfohlen, betroffene Erweiterungen aus allen Projekten zu entfernen.

Download Microsoft Visual Studio Code - Code-Editor
Siehe auch: