Malware em extensões do VS Code e pacotes Go, npm e Rust rouba credenciais e sessões de navegador de desenvolvedores

Pesquisadores identificaram uma nova onda de ataques direcionados a desenvolvedores por meio de extensões maliciosas publicadas no marketplace do Microsoft Visual Studio Code (VS Code). As extensões, que aparentavam ser apenas temas escuros “premium” ou assistentes de código com inteligência artificial, operavam como ferramentas de espionagem capazes de roubar dados sensíveis e instalar malware adicional.

As extensões BigBlack.bitcoin-black e BigBlack.codo-ai somavam pouco mais de 40 instalações antes de serem removidas pela Microsoft entre os dias 5 e 8 de dezembro de 2025. Um terceiro pacote do mesmo publicador, BigBlack.mrbigblacktheme, também foi retirado após confirmação de que continha código malicioso. Embora uma delas fosse ativada a cada ação no VS Code, a Codo AI escondia seu comportamento dentro de um recurso funcional, dificultando a detecção pelos usuários.

Segundo Idan Dardikman, da Koi Security, os invasores tinham acesso a praticamente tudo que estivesse na tela ou no sistema:

“Seu código, seus e-mails, suas conversas do Slack… o que estiver na sua tela, eles veem também. E isso é só o começo.”

Além disso, o malware obtinha senhas de redes Wi-Fi, conteúdo da área de transferência e sessões de navegador.

Versões iniciais das extensões baixavam um arquivo ZIP protegido por senha a partir de um servidor externo e extraíam o payload usando múltiplas técnicas. Em determinado momento, o invasor chegou a distribuir, por engano, uma versão que abria uma janela visível do PowerShell o que poderia alertar usuários mais atentos. Depois, o processo foi “aperfeiçoado” para rodar silenciosamente, usando scripts em batch e comandos curl.

O ataque se apoiava ainda em DLL hijacking utilizando o executável legítimo do aplicativo Lightshot. A biblioteca maliciosa capturava screenshots, lista de processos, apps instalados, cookies de navegadores e outras informações sensíveis, enviando tudo para um servidor controlado pelo hacker. O malware também iniciava Chrome e Edge em modo headless para sequestrar sessões de login.

A investigação acontece em paralelo a descobertas feitas pela empresa Socket, que detectou pacotes maliciosos também nos ecossistemas Go, npm e Rust.

Entre eles:

Go: pacotes falsos como bpoorman/uuid e bpoorman/uid, publicados desde 2021, imitam bibliotecas legítimas e enviam dados para um serviço de paste anônimo ao serem executados com uma função chamada valid.

npm: ao menos 420 pacotes seguindo o padrão de nome elf-stats-, atribuídos a um possível hacker francófono, incluíam código para abrir reverse shells e exfiltrar arquivos para um endpoint no Pipedream.

Rust: o pacote finch-rust, que se passava pela ferramenta de bioinformática finch, servia como carregador de uma payload maliciosa hospedada em outro crate, sha-rust, ativado ao chamar determinadas rotinas de serialização.

O pesquisador Kush Pandya, da Socket, explica que o design modular torna a detecção mais complexa:

“O finch-rust parece benigno por si só, mas contém uma linha de código que carrega e executa o payload. Já o sha-rust guarda o malware real. Essa separação dificulta identificar o ataque.”

O caso reforça um alerta que vem crescendo no setor: ambientes de desenvolvimento estão se tornando alvos prioritários para hackers, que exploram a cadeia de supply chain de software para atingir empresas inteiras por meio de um único desenvolvedor comprometido.

Via - THN