В августе 2026 года в официальном магазине расширений Visual Studio Code появилась надстройка Copilot for KeyBank. Внешне она выглядела как полезный инструмент для разработчиков, работающих с банковскими сервисами. Однако при запуске редактора расширение незаметно начинало собирать сведения о компьютере и отправлять их на удалённый сервер. Никакого реального функционала, описанного в документации, в коде не оказалось.
Описание
Издателем пакета значилась компания с нейтральным именем verified, а отображаемое имя было указано как Deep Seek. Пакет назывался pypi-keyBank, что должно было вызвать ассоциации с популярным репозиторием Python и известным банком. Ни одна из этих организаций не имеет к расширению отношения. Внутри архива вместо полноценного кода находился один компактный файл размером чуть более трёх килобайт. Он не содержал ни одной заявленной возможности: ни умной маршрутизации, ни работы с секретами, ни поддержки разных языков программирования.
Исследование Argus показало, что вредоносная логика сводится к трём шагам. При активации расширение автоматически вызывает собственную внутреннюю команду, не дожидаясь действий пользователя. Затем оно собирает имя учётной записи, сетевое имя компьютера, название домена и тип операционной системы. Эти данные кодируются и помещаются в заголовки HTTPS-запроса. Запрос направляется на поддельный сервер, который маскируется под домен, похожий на инфраструктуру GitHub. После отправки расширение ожидает ответ с ключевым словом Authorized. Когда это слово появляется, расширение извлекает из ответа второй адрес, загружает оттуда скрипт и исполняет его прямо внутри редактора. Так злоумышленники получают полный контроль над системой.
Расширение не отправляет данные лишь один раз. Если сервер не отвечает нужным словом, оно повторяет попытку через час. При любой ошибке также происходит повторный запрос, причём пользователь не видит никаких сообщений. Такая настойчивость делает заражение практически незаметным. Вредоносная активность продолжается, пока расширение остаётся установленным.
Аналитики обратили внимание на то, как тщательно готовилась эта кампания. Домен, используемый в качестве командного сервера (C2-сервера), был зарегистрирован за восемнадцать месяцев до публикации расширения. Всё это время он указывал на настоящие серверы GitHub, что создавало ему репутацию безопасного ресурса. Затем, непосредственно перед релизом вредоносного пакета, домен перевели на собственные серверы злоумышленников. Инфраструктура была подготовлена за несколько часов до появления расширения в магазине. Это говорит о намеренном и планомерном подходе операторов.
Подобные атаки на маркетплейсы расширений уже происходили. Однако этот случай отличается более агрессивной тактикой. В прошлых кампаниях вредоносные расширения иногда выполняли часть заявленных функций. Здесь же полезная составляющая отсутствует полностью. Описание возможностей, длинный журнал изменений с 2024 года и даже небольшая картинка, похожая на аватар, оказались лишь декорацией. Реальный код сводится к одному действию - связи с командно-контрольным сервером. Само расширение публиковано под брендами GitHub Copilot, DeepSeek, PyPI и KeyBank, чтобы снизить подозрения у проверяющих.
Для маскировки авторы применили сразу несколько приёмов. Название вызывало доверие из-за отсылок к известным продуктам. Документация была написана на высоком уровне. В ней описывались режимы работы, настройки приватности и интеграция с другими системами. Журнал изменений содержал записи о версиях с 2024 года, хотя само расширение вышло в 2026-м. Дополнительно в архив добавлялась небольшая случайная картинка, которая не использовалась в коде. Наличие такого файла помогало обойти простые проверки, нацеленные на поиск одиночных скриптов. Примечательно, что на момент анализа командный сервер не выдавал вредоносную нагрузку. Он оставался доступным, но не активировал функцию удалённого выполнения кода. Возможно, операторы ждут сигнала для начала полноценной атаки.
Пользователям, которые уже установили это расширение, необходимо немедленно удалить его. После удаления стоит рассматривать компьютер как скомпрометированный. Данные об учётной записи, имени компьютера и операционной системе уже могли быть переданы злоумышленникам. Рекомендуется провести полное сканирование системы антивирусными средствами. Если в момент работы расширения сервер отдал команду на выполнение кода, последствия могут быть серьёзными. В этом случае следует обратиться к специалистам по информационной безопасности.
Для администраторов магазинов расширений инцидент служит напоминанием о необходимости тщательной проверки публикаций. Такие признаки, как издатель с общим именем, не совпадающий с брендом, должны вызывать подозрение. Даты изменений, которые не соответствуют реальному времени публикации, тоже говорят о возможном обмане. Полезно обращать внимание на расхождения между описанием и содержимым пакета. Важно также использовать проверку доменных имён, имитирующих известные сервисы. Вредоносные расширения остаются серьёзной угрозой для пользователей сред разработки. Маркетплейсы привлекают злоумышленников тем, что разработчики доверяют публикациям после модерации. Поэтому пользователям стоит проверять расширения перед установкой, а платформам - внедрять более строгие механизмы анализа кода.
Индикаторы компрометации
IPv4
- 100.58.149.126
- 13.217.62.189
Domain
- cdn.github-cdn.net
- github-cdn.net
URL
- https://github-cdn.net/api/license
- https://marketplace.visualstudio.com/items?itemName=verified.pypi-keyBank
SHA256
- 70594d932950a164e0d820060410af4ea1d127b7221f577d2dcfc22c2d8ff1df
- 9c83bfa569e5c56f5470ea098746d0cc1d5a269314f1cade0e28bb7376601d00
- dcc76854dbf659ea2e9c4402e328dd774cd5f971a4a68af9540b84b6a2014837
