Pesquisadores de segurança identificaram novamente extensões maliciosas no marketplace OpenVSX, utilizadas por desenvolvedores para o Visual Studio Code e editores compatíveis. Essas extensões foram projetadas para roubar criptomoedas e dados sensíveis, disfarçadas de ferramentas legítimas para produtividade e desenvolvimento. A descoberta alerta para os riscos crescentes de ataques na cadeia de suprimentos digital, especialmente em ambientes de programação e DevOps.
As investigações revelaram que as extensões continham scripts ocultos que capturavam variáveis de ambiente, tokens de autenticação e dados de carteiras de criptomoedas. Após a instalação, o código malicioso enviava essas informações para servidores controlados pelos atacantes. O problema é agravado pelo fato de o OpenVSX ser uma alternativa aberta ao marketplace oficial da Microsoft, o que facilita o envio e a distribuição de extensões sem verificação rigorosa. Assim, desenvolvedores que optam por versões alternativas ou ambientes customizados tornam-se alvos potenciais de campanhas de roubo e espionagem digital.
Esses ataques exploram a confiança implícita dos usuários em repositórios abertos e a dificuldade de identificar comportamentos anômalos em extensões aparentemente inofensivas. Para empresas que dependem de pipelines automatizados e integrações com VSCode, o impacto pode ser severo: vazamento de segredos de API, credenciais corporativas e chaves de acesso a serviços críticos.
Dica prática: antes de instalar qualquer extensão, verifique a origem, número de downloads e histórico de atualizações. Prefira repositórios oficiais e monitore o uso de ferramentas de terceiros em ambientes de desenvolvimento. Utilize varreduras de segurança em pipelines CI/CD e configure políticas que bloqueiem extensões não verificadas. Ferramentas de Threat Intelligence ajudam a identificar extensões comprometidas e domínios maliciosos antes que causem danos.
A recorrência desses casos mostra que a segurança do ciclo de desenvolvimento precisa ser tratada como prioridade. Adotar controles de validação, auditoria e monitoramento contínuo é essencial para reduzir riscos. A LC SEC oferece penteste, Threat Intelligence com IA, auditoria interna, conscientização, plano diretor de segurança e estruturação de SGSI para proteger sua infraestrutura e seu código. Conheça mais em lcsec.io
Compartilhe nas redes sociais:
