Microsoft'un Visual Studio Code Marketplace'teki dokuz VSCODE uzantısı, XMRIG Cryptominer ile Ethereum ve Monero'ya enfekte ederken meşru geliştirme araçları olarak poz veriyor.
Microsoft VSCode, kullanıcıların programın işlevselliğini genişletmek için uzantılar yüklemelerini sağlayan popüler bir kod düzenleyicisidir. Bu uzantılar, geliştiricilerin eklentileri bulması ve yüklemesi için çevrimiçi bir merkez olan Microsoft'un VSCode Marketplace'den indirilebilir.
ExtensionTotal araştırmacısı Yuval Ronen, 4 Nisan 2025'te Microsoft portalında yayınlanan dokuz VSCODE uzantısını ortaya çıkardı.
Paket adları:
Pazar, uzantıların 4 Nisan'dan bu yana 300.000'den fazla kurulum topladığını göstermektedir. Bu rakamlar, uzantılara başkalarını kurmaya ikna etmek için meşruiyet ve popülerlik duygusu vermek için yapay olarak şişirilmiştir.
ExtensionTotal, Microsoft'a kötü niyetli uzantıları bildirdiğini, ancak yazma sırasında hala mevcut olduklarını söylüyor.
Kurulduğunda ve etkinleştirildiğinde, kötü niyetli uzantılar bir PowerShell komut dosyasını 'https: // asdf11 [.] Xyz/' adresinden harici bir kaynaktan alır ve yürütür. Bittiğinde, taklit edildiği meşru uzantıyı da kurar, böylece enfekte kullanıcı şüpheli olmaz.
Kötü niyetli PowerShell betiği, savunmaları devre dışı bırakmak, kalıcılık oluşturmak, ayrıcalıkları artıran ve sonunda Cryptominer'ın yüklenmesi gibi birden fazla işlev gerçekleştirir.
İlk olarak, "OneDriveStartup" olarak gizlenmiş planlanmış bir görev oluşturur ve System Startup'ta kötü amaçlı yazılımların (Launcher.exe) çalışmasını sağlamak için Windows Kayıt Defteri'ne bir komut dosyası enjekte eder.
Ardından, Windows Update ve Update Medic gibi kritik Windows hizmetlerini kapatır ve çalışma dizinini algılamadan kaçınmak için Windows Defender'ın hariç tutma listesine ekler.
Kötü amaçlı yazılım yönetici haklarıyla yürütülmediyse, bir sistem ikili (computerdefaults.exe) taklit eder ve ayrıcalıkları yükseltmek ve Launcher.exe yükünü yürütmek için kötü niyetli bir mlang.dll kullanarak DLL kaçırma gerçekleştirir.
Base64 kodlu formda gelen yürütülebilir, PowerShell komut dosyası tarafından bir Monero kripto para madencisi XMRIG'yi indirmek ve çalıştırmak için Myaunet [.] Su'da ikincil bir sunucu ile bağlantı kurmak için kod çözülür.
BleepingComputer, tehdit oyuncunun uzak sunucusunun da A / NPM / klasörüne sahip olduğunu keşfetti, bu da potansiyel olarak kampanyanın bu paket dizininde de aktif olduğunu gösterdi. Ancak, NPM platformunda kötü amaçlı dosyaları bulamadık.
ExtensionTotal raporunda belirtilen dokuz uzantıyı yüklediyseniz, bunları hemen kaldırmalı ve daha sonra madeni para madencisini, planlanan görevleri, kayıt defteri anahtarını ve kötü amaçlı yazılım dizinini manuel olarak bulmalı ve silmeniz gerekir.
BleepingComputer, Microsoft ile dokuz uzantı hakkında temasa geçti ve bir sözcü bize aşağıdaki yorumu gönderdi:
"Uzantıları kaldırdık ve yayıncı VS pazarından engellendi. Kullanıcılardan herhangi bir işlem gerekmiyor." - Microsoft sözcüsü
Güncelleme 4/8 - Microsoft ifadesi eklendi
14 metrelik kötü niyetli eylemlerin analizine dayanarak, saldırıların% 93'ünün ve bunlara karşı nasıl savunulacağının arkasındaki en iyi 10 MITER ATT & CK tekniklerini keşfedin.
9 milyon kurulumla VSCODE uzantıları güvenlik risklerini üstlendi
VSCODE Uzantıları Erken Aşamalı Fidye Yazılımını İndirdi
Microsoft, milyonlarca kişi tarafından kullanılan VSCODE uzantılarını kaldırdığı için özür diliyor
Çatlak Garry’nin Mod, Beamng.drive oyunları oyuncuları madencilerle bulaşır
Massjacker kötü amaçlı yazılım, kripto para birimini çalmak için 778.000 cüzdan kullanır
Kaynak: Bleeping Computer