Более 1,5 миллиона разработчиков могли стать жертвами утечки данных. В VSCode Marketplace нашли два вредоносных расширения от китайской группировки киберпреступников. Об этом сообщила компания Koi Security.

Расширения выдавали себя за ИИ-помощников. ChatGPT — 中文版 скачали 1,34 миллиона раз. ChatMoss или CodeMoss — 150 тысяч раз. Функции ИИ действительно работают. Но параллельно расширения отправляют конфиденциальные данные на сервер в Китае.

Оба инструмента — часть вредоносной кампании MaliciousCorgi. Данные уходят на один и тот же сервер. Это организованная операция, а не случайные поделки.

Для кражи используются три механизма. Первый отслеживает открываемые в VSCode файлы в реальном времени. Кодирует их в Base64 и передает на сервер. Разработчик работает с кодом, а копия летит злоумышленникам.

Второй механизм включается по команде с сервера. Отправляет до 50 файлов из рабочего пространства жертвы. Выборочная кража наиболее важных данных по запросу хакеров.

Третий механизм — iframe с нулевым размером в режиме веб-просмотра расширения. Туда загружены коммерческие SDK для отслеживания. Они следят за поведением пользователя, создают идентификационные профили и мониторят активность.

1,5 миллиона установок — это огромное число для вредоносного ПО в официальном магазине. Расширения провисели там достаточно долго, чтобы набрать такую аудиторию. Модерация Microsoft явно не справилась.

Microsoft пообещала изучить ситуацию после сообщения Koi Security. Но на момент публикации оба расширения все еще доступны для скачивания. Пользователи продолжают их устанавливать, не зная об угрозе.

Это не первый случай вредоносных расширений в магазинах кода. Но масштаб впечатляет. 1,34 миллиона скачиваний для одного расширения показывает доверие к официальному Marketplace.

Китайское происхождение сервера указывает на возможные мотивы. Кража интеллектуальной собственности, промышленный шпионаж или сбор данных для других атак. Код разработчиков часто содержит API-ключи, пароли и бизнес-логику.

Разработчикам рекомендуется проверить установленные расширения. Если нашли ChatGPT — 中文版 или ChatMoss, немедленно удалить. Также стоит поменять все ключи и пароли, которые могли попасть в украденные файлы.

VSCode Marketplace нуждается в более строгой модерации. 1,5 миллиона жертв — слишком высокая цена за доверие к официальному магазину Microsoft.