Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert deux extensions malveillantes sur le march\u00e9 du Code Visual Studio (VSCOD) qui sont con\u00e7ues pour d\u00e9ployer des ransomwares qui sont en cours de d\u00e9veloppement envers ses utilisateurs.<\/p>\n
Les extensions, nomm\u00e9es “ahban.shiba” et “ahban.cychewelloworld”, ont depuis \u00e9t\u00e9 supprim\u00e9es par les agents de march\u00e9 du march\u00e9.<\/p>\n
Les deux extensions, par Inversion<\/a>Incorporez le code con\u00e7u pour invoquer une commande PowerShell, qui saisit ensuite une charge utile PowerShell-Script \u00e0 partir d’un serveur de commande et de contr\u00f4le (C2) et l’ex\u00e9cute.<\/p>\n La charge utile est soup\u00e7onn\u00e9e d’\u00eatre des ransomwares dans le d\u00e9veloppement \u00e0 un stade pr\u00e9coce, ne chiffrant que des fichiers dans un dossier appel\u00e9 “testshiba” sur le bureau Windows de la victime.<\/p>\n Une fois les fichiers crypt\u00e9s, la charge utile PowerShell affiche un message, indiquant “Vos fichiers ont \u00e9t\u00e9 crypt\u00e9s. Payez 1 Shibacoin \u00e0 Shibawallet pour les r\u00e9cup\u00e9rer.”<\/p>\n Cependant, aucune autre instruction ou adresse de portefeuille de crypto-monnaie n’est fournie aux victimes, une autre indication que les logiciels malveillants sont probablement en cours de d\u00e9veloppement par les acteurs de la menace.<\/p>\n Le d\u00e9veloppement intervient quelques mois apr\u00e8s que la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle a signal\u00e9 plusieurs extensions malveillantes, dont certaines se sont d\u00e9gag\u00e9es de zoom, mais ont nourri la fonctionnalit\u00e9 pour t\u00e9l\u00e9charger une charge utile inconnue de deuxi\u00e8me \u00e9tape d’un serveur distant.<\/p>\n La semaine derni\u00e8re, Socket a d\u00e9taill\u00e9 un paquet de maven malveillant imitant le SCRIBEJAVA-CORE BIBLIOTH\u00c8QUE<\/a> qui r\u00e9colte secr\u00e8tement et exfiltre des r\u00e9f\u00e9rences d’oauth le quinzi\u00e8me jour de chaque mois, mettant en \u00e9vidence un m\u00e9canisme de d\u00e9clenchement temporel con\u00e7u pour \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n La biblioth\u00e8que a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9e sur Maven Central le 25 janvier 2024. Il continue d’\u00eatre Disponible en t\u00e9l\u00e9chargement<\/a> du r\u00e9f\u00e9rentiel.<\/p>\n “Les attaquants ont utilis\u00e9 la typosquat – cr\u00e9ant un nom presque identique pour inciter les d\u00e9veloppeurs \u00e0 ajouter le package malveillant”, le chercheur en s\u00e9curit\u00e9 Kush Pandya dit<\/a>. “Fait int\u00e9ressant, ce forfait malveillant a six packages d\u00e9pendants.”<\/p>\n “Tous sont des packages l\u00e9gitimes typosquatting mais partagent le m\u00eame groupId (io.github.leetcrunch) au lieu de l’espace de noms r\u00e9el (com.github.scribejava).”<\/p>\n En adoptant cette approche, l’id\u00e9e est de stimuler la l\u00e9gitimit\u00e9 per\u00e7ue de la biblioth\u00e8que malveillante, augmentant ainsi les chances qu’un d\u00e9veloppeur t\u00e9l\u00e9charge et l’utiliserait dans ses projets.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/VScode-Marketplace-supprime-deux-extensions-deploiement-des-ransomwares-a-un.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n