Investigadores de ciberseguridad han descubierto dos nuevas extensiones en Microsoft Visual Studio Code (VS Code) Marketplace que están diseñadas para infectar máquinas de desarrolladores con malware ladrón.
Las extensiones de VS Code se hacen pasar por un tema oscuro premium y un asistente de codificación impulsado por inteligencia artificial (IA), pero, en realidad, albergan una funcionalidad encubierta para descargar cargas útiles adicionales, tomar capturas de pantalla y desviar datos. Luego, la información capturada se envía a un servidor controlado por el atacante.
«Tu código. Tus correos electrónicos. Tus mensajes directos de Slack. Lo que sea que esté en tu pantalla, ellos también lo ven», Idan Dardikman de Koi Security. dicho. «Y eso es sólo el comienzo. También roba tus contraseñas de WiFi, lee tu portapapeles y secuestra tus sesiones de navegador».
Los nombres de las extensiones están a continuación:
- BigBlack.bitcoin-black (16 instalaciones): eliminado por Microsoft el 5 de diciembre de 2025
- BigBlack.codo-ai (25 instalaciones): eliminado por Microsoft el 8 de diciembre de 2025
Lista de Microsoft de extensiones eliminadas del Marketplace muestra que la compañía también eliminó un tercer paquete llamado «BigBlack.mrbigblacktheme» del mismo editor por contener malware. Dardikman dijo a The Hacker News que la extensión también contenía el mismo malware que las otras dos, pero señaló que no causó ningún impacto en el mundo real ya que se eliminó rápidamente.
Mientras que «BigBlack.bitcoin-black» se activa con cada acción de VS Code, Codo AI incorpora su funcionalidad maliciosa dentro de una herramienta de trabajo, lo que le permite evitar la detección.
Las versiones anteriores de las extensiones incluían la capacidad de ejecutar un script de PowerShell para descargar un archivo ZIP protegido con contraseña desde un servidor externo («syn1112223334445556667778889990[.]org») y extraiga de él la carga principal utilizando cuatro métodos diferentes: Expand-Archive nativo de Windows, .NET System.IO.Compression, DotNetZip y 7-Zip (si está instalado).
Dicho esto, se dice que el atacante envió inadvertidamente una versión que creaba una ventana visible de PowerShell y podría haber alertado al usuario. Sin embargo, se ha descubierto que las iteraciones posteriores ocultan la ventana y agilizan todo el proceso al cambiar a un script por lotes que utiliza un comando curl para descargar el ejecutable y la DLL.
El ejecutable es el binario Lightshot legítimo que se utiliza para cargar la DLL maliciosa («Lightshot.dll») mediante el secuestro de DLL, que procede a recopilar el contenido del portapapeles, una lista de aplicaciones instaladas, procesos en ejecución, capturas de pantalla del escritorio, credenciales de Wi-Fi almacenadas e información detallada del sistema. También lanza Google Chrome y Microsoft Edge en modo sin cabeza para capturar las cookies almacenadas y secuestrar las sesiones de los usuarios.
«Un desarrollador podría instalar lo que parece un tema inofensivo o una útil herramienta de inteligencia artificial y, en cuestión de segundos, sus contraseñas de WiFi, el contenido del portapapeles y las sesiones del navegador se filtrarán a un servidor remoto», dijo Dardikman.
La divulgación se produce cuando Socket dijo que identificó paquetes maliciosos en los ecosistemas Go, npm y Rust que son capaces de recopilar datos confidenciales.
- Ir a paquetes llamados «github[.]com/bpoorman/uuid» y «github[.]com/bpoorman/uid» que han estado disponibles desde 2021 y bibliotecas UUID confiables de typosquat («github[.]com/google/uuid» y «github[.]com/pborman/uuid») a exfiltrar datos a un sitio de pegado llamado dpaste cuando una aplicación invoca explícitamente una supuesta función auxiliar llamada «válida» junto con la información que se va a validar.
- un conjunto de 420 paquetes npm únicos publicado por un probable actor de amenazas de habla francesa que sigue un patrón de nomenclatura consistente que incluye «elf-stats-*», algunos de los cuales contienen código para ejecutar un shell inverso y exfiltrar archivos a un punto final de Pipedream.
- Una caja de Rust llamada finch-rust publicada por faceless, que se hace pasar por la herramienta bioinformática legítima «finch» y sirve como cargador para una carga útil maliciosa a través de un paquete de robo de credenciales conocido como «sha-rust» cuando un desarrollador utiliza la funcionalidad de serialización de bocetos de la biblioteca.
«Finch-rust actúa como un cargador de malware; contiene principalmente código legítimo copiado del paquete finch legítimo, pero incluye una única línea maliciosa que carga y ejecuta la carga útil de sha-rust», dijo el investigador de Socket, Kush Pandya. «Esta separación de preocupaciones hace que la detección sea más difícil: finch-rust parece benigno de forma aislada, mientras que sha-rust contiene el malware real».
Fuente