Los investigadores de seguridad cibern\u00e9tica han descubierto dos extensiones maliciosas en el mercado de Visual Studio Code (VScode) que est\u00e1n dise\u00f1ados para implementar ransomware que se est\u00e1 desarrollando a sus usuarios.<\/p>\n
Las extensiones, llamada “Ahban.shiba” y “Ahban.Cychelloworld”, han sido eliminados por los mantenedores del mercado.<\/p>\n
Ambas extensiones, por Reversinglabs<\/a>incorpore un c\u00f3digo dise\u00f1ado para invocar un comando PowerShell, que luego toma una carga \u00fatil de Script PowerShell desde un servidor de comando y control (C2) y la ejecuta.<\/p>\n Se sospecha que la carga \u00fatil es ransomware en el desarrollo de la etapa temprana, solo encriptando archivos en una carpeta llamada “TestShiba” en el escritorio de Windows de la v\u00edctima.<\/p>\n Una vez que los archivos est\u00e1n encriptados, la carga \u00fatil de PowerShell muestra un mensaje, indicando “sus archivos han sido encriptados. Pague 1 Shibacoin a Shibawallet para recuperarlos”.<\/p>\n Sin embargo, no se proporcionan otras instrucciones o direcciones de billetera de criptomonedas a las v\u00edctimas, otra indicaci\u00f3n de que el malware probablemente est\u00e9 en desarrollo por los actores de amenazas.<\/p>\n El desarrollo se produce un par de meses despu\u00e9s de que la firma de seguridad de la cadena de suministro de software marc\u00f3 varias extensiones maliciosas, algunas de las cuales se disfrazaron de Zoom, pero albergaban la funcionalidad para descargar una carga \u00fatil de la segunda etapa desconocida desde un servidor remoto.<\/p>\n La semana pasada, Socket detall\u00f3 un paquete maven malicioso que se hace pasar por el biblioteca scibeJava-core oauth<\/a> Eso cosecha y exfiltra en secreto las credenciales OAuth en el decimoquinto d\u00eda de cada mes, destacando un mecanismo de activaci\u00f3n basado en el tiempo dise\u00f1ado para evadir la detecci\u00f3n.<\/p>\n La biblioteca fue subida a Maven Central el 25 de enero de 2024. Sigue siendo Disponible para descargar<\/a> del repositorio.<\/p>\n “Los atacantes utilizaron un tipo de escritura, creando un nombre casi id\u00e9ntico para enga\u00f1ar a los desarrolladores para agregar el paquete malicioso”, el investigador de seguridad Kush Pandya dicho<\/a>. “Curiosamente, este paquete malicioso tiene seis paquetes dependientes”.<\/p>\n “Todos ellos son paquetes leg\u00edtimos para escribir tipogr\u00e1fico, pero comparten el mismo grupo (io.github.leetcrunch) en lugar del espacio de nombres real (com.github.scribeJava)”.<\/p>\n Al adoptar este enfoque, la idea es aumentar la legitimidad percibida de la Biblioteca Maliciosa, aumentando as\u00ed las posibilidades de que un desarrollador lo descargue y lo use en sus proyectos.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/VSCode-Marketplace-elimina-dos-extensiones-que-implementan-ransomware-en-etapa.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n