Quando a Microsoft criou o VSCode, procurar criar uma solução para os programadores, que pudesse ser integrada com extensões e extras. Conseguiu criar uma ferramenta que conquistou o mercado, mas que ainda assim tem espaço para melhorar.
Uma análise recente ao Marketplace que serve o VSCode veio revelar um cenário preocupante. É muito simples colocar extensões maliciosas nesta loja e assim explorar os dados dos utilizadores, sem estes terem conhecimento deste perigo.
Para todos os que se dedicam à programação, o VSCode é uma escolha quase óbvia. Desde que foi apresentado que tem conquistado esta área, sendo já usado por mais de 70% de todos os que lidam de forma diária com várias linguagens de programação.
Com todas as ferramentas extras a que dá acesso através das extensões, torna-se anda melhor e mais útil para os programadores. É precisamente no Marketplace, local de acesso às extensões, que foi agora descoberta uma vulnerabilidade muito importante.
🚨 Aqua Nautilus has discovered attackers can easily impersonate VSCode extensions and trick developers into downloading them.
This method targets developers through their IDEs and could potentially compromise the entire #software development process. https://t.co/JzXc4T6tnG
— Aqua Security (@AquaSecTeam) January 6, 2023
O que a AquaSec descobriu é que é possível colocar extensões nessa loja que são em tudo idênticas às legítímas. O pormenor vai ao ponto de terem o mesmo nome, as mesmas descrições e até os mesmos logótipos e imagens.
MAIS: Cibercrime em 2023: 3 ameaças e 5 medidas
Ao ser instalada uma destas extensões, passava a ser possível várias ações. Isto passava por instalar programas adicionais, roubar ou adulterar o código-fonte no VSCode e até mesmo usar as chaves SSH do programador para aceder a repositórios GitHub ligados.
O mais preocupante nesta descoberta é que este não é apenas um cenário hipotético. Há já algumas extensões presentes no Marketplace que simulam outras de muito maior sucesso e que procuram roubar dados dos utilizadores. Um dos exemplos encontrados fazia pedidos a um servidor central, aguardando uma resposta positiva para poder iniciar ações maliciosas.
O conselho a dar a quem usa o VSCode é que tenham atenção redobrada ao instalar extensões da Marketplace. Validem o nome correto do que procurem, avaliem o número de instalações e até os comentários de outros utilizadores. Este é um perigo real e as consequências podem ser graves, em especial em ambientes corporativos.