Специалисты Manifold Security нашли в каталоге Open VSX 77 вредоносных расширений, которые притворялись полезными инструментами для разработчиков. Вместо заявленных функций они тихо собирали данные о системе, где были установлены.

Большинство из этих расширений довольствовались базовой информацией вроде имени пользователя или версии ОС. Однако 19 штук пошли дальше и проводили полноценную разведку рабочих окружений, включая изучение Git-репозиториев и настроек CI-систем.

Open VSX — это открытый реестр расширений, который часто используют как альтернативу проприетарному маркетплейсу Visual Studio Code. Именно открытость и меньшая модерация, вероятно, и позволили такому количеству вредоносов проскочить в общий доступ.

Пока неизвестно, кто стоит за этой кампанией и как долго расширения находились в каталоге. Но сам факт того, что подделка под легитимные инструменты прошла незамеченной, говорит о слабом месте в цепочке поставок софта для разработчиков.

Разработчикам стоит пересмотреть список установленных расширений и удалить всё, что не используется активно или имеет сомнительную репутацию. Вероятно, Manifold Security уже передала список вредоносов модераторам Open VSX, но пока непонятно, как быстро каталог почистят и не появятся ли там новые аналогичные подделки.