Duas extensões maliciosas foram identificadas no Marketplace do Visual Studio Code, um editor de código da Microsoft. Apesar de funcionarem como prometido, elas executavam scripts escondidos para capturar a tela do usuário e extrair informações sensíveis, representando um risco direto para desenvolvedores.
A descoberta, feita pela Koi Security, revelou que as ferramentas baixavam cargas maliciosas adicionais após a instalação. Em seguida, iniciavam a coleta silenciosa de dados, que incluía capturas de tela, conteúdo da Área de Transferência, processos em execução e até credenciais de redes Wi-Fi.
Uma das extensões, BigBlack.bitcoin-black, se disfarçava de tema para entusiastas de criptomoedas e foi instalada 16 vezes. Embora alterasse a aparência do VS Code conforme prometido, continha eventos de ativação que executavam scripts PowerShell em segundo plano.
A outra extensão, BigBlack.codo-ai, com 25 instalações, apresentava-se como um assistente de desenvolvimento baseado em inteligência artificial. Assim como a primeira, ela também acionava scripts maliciosos após a instalação.
Ambas as extensões foram removidas do marketplace — BigBlack.bitcoin-black em 5 de dezembro e BigBlack.codo-ai em 8 de dezembro. A Microsoft também eliminou uma terceira extensão do mesmo autor, BigBlack.mrbigblacktheme, que continha o mesmo tipo de malware.
As três extensões instalavam uma versão adulterada do aplicativo Lightshot, uma ferramenta legítima para captura de tela, mas com DLLs maliciosos. Ao abrir o programa, esses arquivos eram carregados e executados como parte do ataque.
O malware também se infiltrava no diretório %appdata%, coletando dados como histórico da Área de Transferência, lista de aplicações instaladas e informações do sistema. Posteriormente, todo o conteúdo era enviado para um servidor externo controlado pelos atacantes.
Quem eram os alvos?
Os alvos eram desenvolvedores com perfis distintos. O BigBlack.bitcoin-black visava usuários interessados em criptomoedas, um público que potencialmente possuía carteiras digitais ativas em seus dispositivos. Já o BigBlack.codo-ai tentava alcançar um grupo mais amplo: programadores em busca de soluções gratuitas para aumentar a produtividade, especialmente assistentes de IA.
Como prevenir?
Assim como ocorre com aplicativos, extensões do VS Code também exigem cautela. Ao escolher um complemento, é fundamental:
- Verificar se o desenvolvedor é confiável;
- Checar as avaliações de outros usuários;
- Observar o número de instalações.
No caso dessas extensões, a baixa quantidade de downloads era um dos sinais de alerta, uma pista importante para identificar riscos antes da instalação.
