Un nouveau vecteur d’attaque ciblant le march\u00e9 des extensions Visual Studio Code pourrait \u00eatre exploit\u00e9 pour t\u00e9l\u00e9charger des extensions malveillantes se faisant passer pour leurs homologues l\u00e9gitimes dans le but de monter des attaques sur la cha\u00eene d’approvisionnement.<\/p>\n
La technique “pourrait servir de point d’entr\u00e9e pour une attaque contre de nombreuses organisations”, a d\u00e9clar\u00e9 Ilay Goldman, chercheur en s\u00e9curit\u00e9 chez Aqua. m’a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n Extensions VS Code, organis\u00e9es via un march\u00e9<\/a> mis \u00e0 disposition par Microsoft, permettent aux d\u00e9veloppeurs d’ajouter des langages de programmation, des d\u00e9bogueurs et des outils \u00e0 l’\u00e9diteur de code source VS Code pour augmenter leurs flux de travail. <\/p>\n “Toutes les extensions s’ex\u00e9cutent avec les privil\u00e8ges de l’utilisateur qui a ouvert le VS Code sans aucune sandbox”, a d\u00e9clar\u00e9 Goldman, expliquant les risques potentiels li\u00e9s \u00e0 l’utilisation des extensions VS Code. “Cela signifie que l’extension peut installer n’importe quel programme sur votre ordinateur, y compris les ransomwares, les essuie-glaces, etc.”<\/p>\n \u00c0 cette fin, Aqua a constat\u00e9 que non seulement il est possible pour un acteur de la menace d’usurper l’identit\u00e9 d’une extension populaire avec de petites variations de l’URL, mais le march\u00e9 permet \u00e9galement \u00e0 l’adversaire d’utiliser le m\u00eame nom et les m\u00eames d\u00e9tails sur l’\u00e9diteur de l’extension, y compris les informations sur le r\u00e9f\u00e9rentiel du projet.<\/p>\n Bien que la m\u00e9thode ne permette pas de r\u00e9pliquer le nombre d’installations et le nombre d’\u00e9toiles, le fait qu’il n’y ait aucune restriction sur les autres caract\u00e9ristiques d’identification signifie qu’elle pourrait \u00eatre utilis\u00e9e pour tromper les d\u00e9veloppeurs.<\/p>\n La recherche a \u00e9galement d\u00e9couvert que le badge de v\u00e9rification attribu\u00e9 aux auteurs pouvait \u00eatre trivialement contourn\u00e9 car la coche prouve uniquement que l’\u00e9diteur de l’extension est le v\u00e9ritable propri\u00e9taire d’un domaine.<\/p>\n En d’autres termes, un acteur malveillant pourrait acheter n’importe quel domaine, l’enregistrer pour obtenir une coche v\u00e9rifi\u00e9e, et finalement t\u00e9l\u00e9charger une extension cheval de Troie portant le m\u00eame nom que celui d’une extension l\u00e9gitime sur le march\u00e9.<\/p>\n Une extension de preuve de concept (PoC) se faisant passer pour le Plus jolie<\/a> L’utilitaire de formatage de code a accumul\u00e9 plus de 1 000 installations en 48 heures par des d\u00e9veloppeurs du monde entier, a d\u00e9clar\u00e9 Aqua. C’est depuis d\u00e9mont\u00e9<\/a>.<\/p>\n Ce n’est pas la premi\u00e8re fois que des inqui\u00e9tudes sont soulev\u00e9es concernant les menaces de la cha\u00eene d’approvisionnement logicielle sur le march\u00e9 des extensions de code VS.<\/p>\n En mai 2021, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise Snyk a d\u00e9couvert un certain nombre de failles de s\u00e9curit\u00e9 dans les extensions populaires de VS Code avec des millions de t\u00e9l\u00e9chargements qui auraient pu \u00eatre exploit\u00e9s par des acteurs malveillants pour compromettre les environnements de d\u00e9veloppement.<\/p>\n “Les attaquants s’efforcent constamment d’\u00e9tendre leur arsenal de techniques leur permettant d’ex\u00e9cuter du code malveillant \u00e0 l’int\u00e9rieur du r\u00e9seau des organisations”, a d\u00e9clar\u00e9 Goldman.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673311412_312_Les-pirates-peuvent-abuser-de-Visual-Studio-Marketplace-pour-cibler.png\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673311412_420_Les-pirates-peuvent-abuser-de-Visual-Studio-Marketplace-pour-cibler.png\")
<\/div>\n