Cybersecurity-onderzoekers hebben twee nieuwe extensies ontdekt op Microsoft Visual Studio Code (VS Code) Marketplace die zijn ontworpen om ontwikkelaarsmachines te infecteren met stealer-malware.
De VS Code-extensies doen zich voor als een premium donker thema en een door kunstmatige intelligentie (AI) aangedreven coderingsassistent, maar herbergen in werkelijkheid geheime functionaliteit om extra payloads te downloaden, schermafbeeldingen te maken en gegevens over te hevelen. De vastgelegde informatie wordt vervolgens naar een door de aanvaller bestuurde server verzonden.
“Je code. Je e-mails. Je Slack DM’s. Wat er ook op je scherm staat, zij zien het ook”, zei Idan Dardikman van Koi Security. “En dat is nog maar het begin. Het steelt ook je wifi-wachtwoorden, leest je klembord en kaapt je browsersessies.”
De namen van de extensies staan hieronder –
- BigBlack.bitcoin-black (16 installaties) – Verwijderd door Microsoft op 5 december 2025
- BigBlack.codo-ai (25 installaties) – Verwijderd door Microsoft op 8 december 2025
Uit de lijst met verwijderde extensies van Microsoft uit de Marketplace blijkt dat het bedrijf ook een derde pakket met de naam “BigBlack.mrbigblacktheme” van dezelfde uitgever heeft verwijderd omdat het malware bevatte. Dardikman vertelde The Hacker News dat de extensie ook dezelfde malware bevatte als de andere twee, maar merkte op dat deze geen echte impact had omdat deze snel werd verwijderd.
Terwijl “BigBlack.bitcoin-black” wordt geactiveerd bij elke VS Code-actie, integreert Codo AI de kwaadaardige functionaliteit ervan in een werkend hulpmiddel, waardoor detectie kan worden omzeild.
Eerdere versies van de extensies boden de mogelijkheid om een PowerShell-script uit te voeren om een met een wachtwoord beveiligd ZIP-archief te downloaden van een externe server (“syn1112223334445556667778889990(.)org”) en daaruit de belangrijkste payload te extraheren met behulp van vier verschillende methoden: Windows native Expand-Archive, .NET System.IO.Compression, DotNetZip en 7-Zip (indien geïnstalleerd).
Dat gezegd hebbende, zou de aanvaller per ongeluk een versie hebben verzonden die een zichtbaar PowerShell-venster creëerde en de gebruiker had kunnen waarschuwen. Het is echter gebleken dat daaropvolgende iteraties het venster verbergen en het hele proces stroomlijnen door over te schakelen naar een batchscript dat een curl-opdracht gebruikt om het uitvoerbare bestand en de DLL te downloaden.
Het uitvoerbare bestand is het legitieme Lightshot-binaire bestand dat wordt gebruikt om de frauduleuze DLL (“Lightshot.dll”) te laden via DLL-kaping, dat vervolgens de inhoud van het klembord, een lijst met geïnstalleerde apps, actieve processen, bureaubladschermafbeeldingen, opgeslagen Wi-Fi-inloggegevens en gedetailleerde systeeminformatie verzamelt. Het lanceert ook Google Chrome en Microsoft Edge in headless-modus om opgeslagen cookies te bemachtigen en gebruikerssessies te kapen.
“Een ontwikkelaar zou iets kunnen installeren dat lijkt op een onschadelijk thema of een handige AI-tool, en binnen enkele seconden worden zijn WiFi-wachtwoorden, klembordinhoud en browsersessies naar een externe server geëxfiltreerd”, aldus Dardikman.
De onthulling komt op het moment dat Socket zei dat het kwaadaardige pakketten in de Go-, NPM- en Rust-ecosystemen heeft geïdentificeerd die in staat zijn gevoelige gegevens te verzamelen –
- Gebruik pakketten met de naam “github(.)com/bpoorman/uuid” en “github(.)com/bpoorman/uid” die beschikbaar zijn sinds 2021 en typosquat vertrouwde UUID-bibliotheken (“github(.)com/google/uuid” en “github(.)com/pborman/uuid”) om gegevens te exfiltreren naar een plaksite met de naam dpaste wanneer een toepassing expliciet een zogenaamde helperfunctie met de naam “valid” aanroept, samen met de informatie om gevalideerd worden.
- Een set van 420 unieke npm-pakketten gepubliceerd door een waarschijnlijk Franstalige bedreigingsacteur die een consistent naamgevingspatroon volgt, waaronder ‘elf-stats-*’, waarvan sommige code bevatten om een omgekeerde shell uit te voeren en bestanden naar een Pipedream-eindpunt te exfiltreren.
- Een Rust-krat met de naam finch-rust, gepubliceerd door faceless, die de legitieme bio-informatica-tool “finch” nabootst en dient als een lader voor een kwaadaardige lading via een pakket voor het stelen van inloggegevens dat bekend staat als “sha-rust” wanneer een ontwikkelaar de schetsserialisatiefunctionaliteit van de bibliotheek gebruikt.
“Finch-rust fungeert als een malware-lader; het bevat voornamelijk legitieme code die is gekopieerd van het legitieme finch-pakket, maar bevat ook een enkele kwaadaardige regel die de sha-rust-payload laadt en uitvoert”, aldus Socket-onderzoeker Kush Pandya. “Deze scheiding van zorgen maakt detectie moeilijker: finch-rust ziet er op zichzelf goedaardig uit, terwijl sha-rust de daadwerkelijke malware bevat.”
