За последний год исследователи зафиксировали десятки вредоносных расширений для популярного редактора кода Visual Studio Code. Большинство из них воруют учетные данные или тайно майнят криптовалюту. Однако новое зловредное ПО, обнаруженное аналитиками, идет гораздо дальше. Оно способно захватывать изображение с экрана жертвы и передавать его злоумышленнику. Ваш исходный код, личная переписка в почте, приватные сообщения в Slack - всё, что находится на мониторе, может оказаться под наблюдением. И это лишь начало. Вредонос также похищает пароли от Wi-Fi, читает буфер обмена и перехватывает сессии браузера.
Описание
Угроза доставляется через два расширения: тему оформления и ИИ-ассистента для программирования. Оба опубликованы одним и тем же автором. Эта история - наглядный пример того, как злоумышленник экспериментирует с различными методами социальной инженерии, чтобы скомпрометировать разработчиков, последовательно совершенствует механизмы доставки и разворачивает мощный сборщик конфиденциальной информации (infostealer).
Тема Bitcoin Black позиционировала себя как "премиальная тёмная тема, вдохновлённая Bitcoin". Расширение Codo AI выдавало себя за "ИИ-ассистента для программирования с интеграцией ChatGPT и DeepSeek". На первый взгляд они кажутся безобидными. Однако легитимные темы для VS Code - это простые JSON-файлы, определяющие цвета. Им не нужны точки активации или главный исполняемый файл. Теме Bitcoin Black, напротив, требуется всё вышеперечисленное. Она использует событие активации "*", что означает запуск при любом действии в редакторе, что само по себе является тревожным сигналом.
Codo AI использует более изощрённый подход. Это расширение действительно работает как ИИ-помощник, позволяя общаться с языковыми моделями прямо в среде разработки. Таким образом, оно предоставляет реальный функционал, что снижает подозрения. Однако в его код встроен вредоносный скрипт. Примечательно, что злоумышленник оставил в коде комментарии, отмечающие вредоносный раздел. Это говорит об активной разработке и поддержке кодовой базы, а также о желании не потерять механизм доставки вредоносной нагрузки (payload) при обновлениях.
Анализ различных версий расширений показал явную эволюцию в методах атаки. В ранней версии 2.5.0 использовался сложный сценарий на PowerShell с множеством запасных вариантов для извлечения полезной нагрузки из запароленного ZIP-архива. Окно PowerShell при этом было видимым, что, вероятно, было ошибкой разработчика. В версии 3.3.0 подход был упрощён и улучшен. Вредоносный код стал загружать исполняемый файл и библиотеку напрямую, окно скрыто, а для предотвращения повторного запуска используется маркерный файл.
В конечном итоге оба расширения доставляют одно и то же: легитимную программу для создания скриншотов Lightshot, в комплекте с которой идёт вредоносная DLL-библиотека. Это классический пример DLL-подмены (hijacking). Когда запускается настоящий, подписанный Lightshot.exe, он загружает зловредную DLL, которая и развёртывает сборщик информации. Данная техника обеспечивает лучшее прикрытие, чем простое переименование вредоносного файла, поскольку легитимный процесс выглядит нормально в дереве процессов.
Собранная информация отправляется на командный сервер злоумышленника (C2). Анализ показал, что вредонос собирает всё, что может найти: содержимое буфера обмена, список установленных программ, запущенные процессы, скриншот рабочего стола, сохранённые учётные данные Wi-Fi и детальную информацию о системе. Особое внимание уделяется браузерам. Модуль запускает Chrome и Edge в так называемом headless-режиме с подозрительными флагами, которые скрывают окно и уменьшают его до размера в один пиксель. Это классическое поведение для кражи файлов cookie и сессий, что соответствует техникам MITRE ATT&CK T1539 и T1185.
Исследователи отмечают, что злоумышленник явно экспериментирует с разными типами приманок. Bitcoin Black нацелена на разработчиков, интересующихся криптовалютой - аудиторию, у которой с высокой вероятностью могут быть криптокошельки. Codo AI апеллирует к желанию повысить продуктивность, что охватывает более широкий круг жертв, а реальный функционал служит прикрытием. Используется одна и та же инфраструктура и полезная нагрузка, но разные точки входа. Это можно назвать A/B-тестированием для распространения вредоносного ПО.
Кампания имеет свои шероховатости. Злоумышленник оставил комментарии в коде, использовал запоминающееся имя мьютекса COOL_SCREENSHOT_MUTEX_YARRR с отсылкой к пиратам, а доменное имя командного сервера выглядит сгенерированным автоматически. Однако применение DLL-подмены с подписанным легитимным бинарным файлом демонстрирует понимание современных техник. Уровень изощрённости неравномерен, но ключевые методы реализации отработаны. Разработчик может установить безобидную на вид тему или полезный инструмент, и в течение секунд его конфиденциальные данные начнут утекать на удалённый сервер. На момент публикации отчёта расширение Codo AI всё ещё оставалось доступно в официальном магазине VS Code. Поверхность атаки через инструменты разработчика продолжает расширяться, и злоумышленники активно этим пользуются.
Индикаторы компрометации
Domains
- syn1112223334445556667778889990.org
Domain Port Combinations
- server09.mentality.cloud:40207
URLs
- http://syn1112223334445556667778889990.org/Lightshot.dll
- http://syn1112223334445556667778889990.org/Lightshot.exe
- http://syn1112223334445556667778889990.org/Lightshot.zip
SHA256
- 0b899508777d7ed5159e2a99a5eff60c54d0724493df3d630525b837fa43aa51
- 369479bd9a248c9448705c222d81ff1a0143343a138fc38fc0ea00f54fcc1598
