Se podr\u00eda aprovechar un nuevo vector de ataque dirigido al mercado de extensiones de Visual Studio Code para cargar extensiones no autorizadas que se hacen pasar por sus contrapartes leg\u00edtimas con el objetivo de montar ataques a la cadena de suministro.<\/p>\n
La t\u00e9cnica “podr\u00eda actuar como un punto de entrada para un ataque a muchas organizaciones”, dijo el investigador de seguridad de Aqua, Ilay Goldman. dicho<\/a> en un informe publicado la semana pasada.<\/p>\n Extensiones de VS Code, seleccionadas a trav\u00e9s de un mercado<\/a> puestos a disposici\u00f3n por Microsoft, permiten a los desarrolladores agregar lenguajes de programaci\u00f3n, depuradores y herramientas al editor de c\u00f3digo fuente de VS Code para aumentar sus flujos de trabajo. <\/p>\n “Todas las extensiones se ejecutan con los privilegios del usuario que ha abierto VS Code sin ninguna zona de pruebas”, dijo Goldman, explicando los riesgos potenciales de usar extensiones de VS Code. “Esto significa que la extensi\u00f3n puede instalar cualquier programa en su computadora, incluidos ransomwares, limpiaparabrisas y m\u00e1s”.<\/p>\n Con ese fin, Aqua descubri\u00f3 que no solo es posible que un actor de amenazas se haga pasar por una extensi\u00f3n popular con peque\u00f1as variaciones en la URL, el mercado tambi\u00e9n permite que el adversario use el mismo nombre y los detalles del editor de la extensi\u00f3n, incluida la informaci\u00f3n del repositorio del proyecto.<\/p>\n Si bien el m\u00e9todo no permite replicar la cantidad de instalaciones y la cantidad de estrellas, el hecho de que no haya restricciones en las otras caracter\u00edsticas de identificaci\u00f3n significa que podr\u00eda usarse para enga\u00f1ar a los desarrolladores.<\/p>\n La investigaci\u00f3n tambi\u00e9n descubri\u00f3 que la insignia de verificaci\u00f3n asignada a los autores podr\u00eda pasarse por alto trivialmente, ya que la marca de verificaci\u00f3n solo prueba que el editor de la extensi\u00f3n es el propietario real de un dominio.<\/p>\n En otras palabras, un actor malicioso podr\u00eda comprar cualquier dominio, registrarlo para obtener una marca de verificaci\u00f3n verificada y, en \u00faltima instancia, cargar una extensi\u00f3n troyana con el mismo nombre que la leg\u00edtima en el mercado.<\/p>\n Una extensi\u00f3n de prueba de concepto (PoC) que se hace pasar por el m\u00e1s bonita<\/a> La utilidad de formato de c\u00f3digo acumul\u00f3 m\u00e1s de 1000 instalaciones en 48 horas por parte de desarrolladores de todo el mundo, dijo Aqua. desde entonces ha sido derribados<\/a>.<\/p>\n Esta no es la primera vez que se plantean preocupaciones sobre las amenazas de la cadena de suministro de software en el mercado de extensiones de VS Code.<\/p>\n En mayo de 2021, la empresa de seguridad empresarial Snyk descubri\u00f3 una serie de fallas de seguridad en las extensiones populares de VS Code con millones de descargas que podr\u00edan haber sido objeto de abuso por parte de los actores de amenazas para comprometer los entornos de los desarrolladores.<\/p>\n “Los atacantes trabajan constantemente para expandir su arsenal de t\u00e9cnicas que les permitan ejecutar c\u00f3digos maliciosos dentro de la red de organizaciones”, dijo Goldman.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/01\/1673310576_553_Los-piratas-informaticos-pueden-abusar-de-Visual-Studio-Marketplace-para.png\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/01\/1673310576_544_Los-piratas-informaticos-pueden-abusar-de-Visual-Studio-Marketplace-para.png\")
<\/div>\n