Extensões VSCode podem esconder malware

Investigadores alertam para o perigo das extensões do Visual Studio Code poderem esconder malware.

O Visual Studio Code é um editor de programação que é utilizado pela maioria dos developers - estima-se que por cerca de 70% dos developers profissionais - e que disponibiliza uma loja de extensões, VSCode Marketplace, que expandem as suas funcionalidades. O problema é que é extremamente fácil publicar extensões maliciosas que se podem aproveitar da desatenção dos developers.

Os investigadores replicaram uma extensão popular chamada "Prettier", com 27 milhões de downloads, que formata o código fonte para ficar mais legível e apresentável. A extensão falsa pode assumir uma aparência idêntica à da extensão legítima, e não demorou para que alguns developers começassem a fazer o download da versão falsa, com mais de 1500 downloads em menos de 48 horas, sendo que poderia ser promovida ainda mais usando serviços pagos para inflacionar os comentários e votações.

Embora se tratasse apenas de uma demonstração e não de uma extensão verdadeiramente maliciosa, os investigadores descobriram algumas extensões que estão na loja do VSCode e que levantam bastante suspeitas, incluindo uma que comunica com um servidor remoto a cada 30 segundos e que pode executar código que for enviado por esse servidor externo - resultando num dos mais graves tipos de risco, que possibilita que um atacante pudesse instalar ferramentas de acesso remoto e controlar completamente a máquina da vítima, incluindo todo o tipo de dados sensíveis que o developer pudesse ter: como chaves de autenticação, passwords de acesso a serviços na cloud, etc.

O mesmo problema aplica-se aos marketplaces de extensões para o Visual Studio e Azure DevOps, com os investigadores a recomendarem que a MS implemente formas de validação que garantam maior controlo sobre quem publica as extensões, e sistemas que impeçam a publicação de extensões que se façam passar por outras extensões já existentes. Uma tarefa que não será fácil, considerando que até lojas como a App Store da Apple, que prometem controlo apertado, continuam a ter dificuldade em lidar com apps falsas e fraudulentas.

Até lá, resta aos developers estarem bem atentos e terem cuidados redobrados sempre que instalem qualquer extensão - e na verdade, o mesmo se aplica a qualquer outra coisa que descarreguem da internet, até mesmo blocos de código que queiram fazer "copy-paste", ou que sejam sugeridos por serviços como o ChatGPT.