‘Whitecobra’ Seller Vscode pazarını kripto sürdüren uzantılarla

Whitecobra adlı bir tehdit oyuncusu, Visual Studio Marketplace ve Open VSX kayıt defterine 24 kötü niyetli uzantılar ekleyerek VSCOD, imleç ve Windsurf kullanıcılarını hedeflemeye sahiptir.

Tehdit oyuncusu, kaldırılan uzantıları değiştirmek için sürekli olarak yeni kötü amaçlı kod yüklediğinden kampanya devam ediyor.

Toplu bir yazıda, çekirdek Ethereum geliştiricisi Zak Cole, görünüşte meşru bir uzatma kullandıktan sonra cüzdanının nasıl boşaldığını anlattı (Contractshark.Solididy-Lang) İmleç kodu düzenleyicisi için.

Cole, uzantının profesyonel olarak tasarlanmış simge, ayrıntılı bir açıklama ve imleçin resmi kayıt defteri OpenVSX’te 54.000 indirme ile iyi huylu bir ürün belirtilerini içerdiğini açıkladı.

Endpoint güvenlik sağlayıcısı Koi’deki araştırmacılara göre, Whitecobra Temmuz ayında 500.000 dolarlık kripto hırsızlığından sorumlu bir gruptır.

Whitecobra saldırıları

VS (Visual Studio) Kod, İmleç ve Windsurf, VSIX Extension’ı destekleyen kod editörleridir – VS Code Marketplace ve OpenVSX platformunda yayınlanan uzantılar için varsayılan paket biçimi.

Bu çapraz uyumluluk ve bu platformlardaki uygun gönderim incelemesinin olmaması, onları geniş bir erişimle kampanyalar yürütmek isteyen saldırganlar için ideal hale getirir.

KOI Security’ye göre, Whitecobra, özenle oluşturulan genel bir açıklama ve şişirilmiş indirme sayısı nedeniyle meşru görünen kötü niyetli VSIX uzantıları oluşturur.

KOI Security, aşağıdaki uzantıların en son Whitecobra kampanyasının bir parçası olduğunu keşfetti:

Openvsx (İmleç/Windsurf)

1. ChainDevtools.solidid-Pro
2. Kilocode-ai.Kilo-Code
3. nomic-fdn.hardhat-solukluk
4. oxc-vscode.oxc
5. Juan-Blanco.
6. kineticsquid.solidid-etereum-vsc
7. Ethfoundry.solidityThereum
8. Juanfblanco.
9. Ethereum.solidid-Ethereum
10. Juan-Blanco.
11. Nomicfdn.hardhat-
12. juan-blanco.vscode-solukluk
13. Nomic-Foundation.Hardhat-Solidite
14. nomic-fdn.solididd-hardhat
15. Kripto-uzatma.
16. Crypto-Extensions.snowshsono

VS Kodu Marketplace

1. Yuanfblanco.awhh
2. Ethfoundry.Therfoundrys
3. Ellisonbrett.GivingBlankies
4. Marcuslockwood.wgbk
5. Vitalikbuterin-Ethfoundation.blan-Co
6. Showsnowcrypto.snowshono
7. Crypto-Extensions.snowshsono
8. Red.rojo -rox -vscode

Araştırmacılar, cüzdan drenajı, “her VSCode uzantısı şablonuyla birlikte gelen varsayılan” merhaba dünya “kazan plakası ile neredeyse aynı olan ana dosyayı (extension.js) yürütme ile başlar.

Ancak, ikincil bir komut dosyasına (adv.js) yürütmeyi tanımlayan basit bir çağrı vardır. Claudflare sayfalarından bir sonraki aşamalı yük indirilir. Yükü platforma özgüdür, Windows için kullanılabilir sürümler, koldaki macOS ve Intel’de macOS.

Windows’ta bir PowerShell betiği, Lummastealer kötü amaçlı yazılımını çalıştırmak için Shellcode’u yürüten bir Python komut dosyası yürütür.

Lummastealer, kripto para birimi cüzdan uygulamalarını, web uzantılarını, web tarayıcılarında depolanan kimlik bilgilerini ve mesajlaşma uygulama verilerini hedefleyen bir bilgi yönlendiren kötü amaçlı yazılımdır.

MacOS’ta yük, bilinmeyen bir kötü amaçlı yazılım ailesini yüklemek için yerel olarak yürütülen kötü amaçlı bir Mach-O ikilidir.

Whitecobra’nın dahili oyun kitabına göre, siber suçlular gelir hedeflerini 10.000 ila 500.000 dolar arasında tanımlar, bir komuta ve kontrol (C2) altyapı kurulumu kılavuzları sağlar ve sosyal mühendislik ve pazarlama tanıtım stratejilerini tanımlar.

Bu, tehdit grubunun organize bir şekilde çalıştığını ve maruz kalma veya yayından kaldırma ile caydırılmadığını doğrular. KOI Security, Whitecobra’nın üç saatten daha kısa bir sürede yeni bir kampanya kurabildiğini söylüyor.

Araştırmacılar, derecelendirmeler, indirme sayıları ve incelemeler güven aşılamak için manipüle edilebileceğinden, kötü niyetli uzantıları ve depolarda bulunan meşru uzantıları ayırt etmek için daha iyi doğrulama mekanizmalarının gerekli olduğu konusunda uyarıyorlar.

Kodlama uzantılarını indirirken genel öneriler, kimliğe bürünme ve yazım hatası denemelerini kontrol etmektir, yalnızca iyi bir güven kaydıyla bilinen projeleri kullanmaya çalışmaktır. Tipik olarak, kısa sürede çok sayıda indirme ve olumlu inceleme toplayan yeni projelerden şüphelenmek daha iyidir.