Cybersecurity-onderzoekers hebben een kwaadaardige Visual Studio Code (VS Code)-extensie gemarkeerd met elementaire ransomware-mogelijkheden die lijkt te zijn gemaakt met behulp van kunstmatige intelligentie – met andere woorden, vibe-gecodeerd.
Secure Annex-onderzoeker John Tuckner, die de extensie ‘susvsex’ markeerde, zei dat deze niet probeert de kwaadaardige functionaliteit ervan te verbergen. De extensie is op 5 november 2025 geüpload door een gebruiker met de naam ‘suspublisher18’, samen met de beschrijving ‘Gewoon testen’ en het e-mailadres ‘donotsupport@example(.)com’.
“Zits, uploadt en versleutelt automatisch bestanden van C:UsersPublictesting (Windows) of /tmp/testing (macOS) bij de eerste keer opstarten”, luidt de beschrijving van de extensie. Vanaf 6 november heeft Microsoft ingegrepen om het van de officiële VS Code Extension Marketplace te verwijderen.
Volgens details gedeeld door “suspublisher18” is de extensie ontworpen om zichzelf automatisch te activeren bij elke gebeurtenis, inclusief installatie of bij het starten van VS Code, en een functie aan te roepen met de naam “zipUploadAndEncrypt”, die een ZIP-archief van een doelmap aanmaakt, deze naar een externe server exfiltreert en de bestanden vervangt door hun gecodeerde versies.
“Gelukkig is de TARGET_DIRECTORY geconfigureerd als een test-staging-directory, zodat deze op dit moment weinig impact zou hebben, maar deze kan eenvoudig worden bijgewerkt met een uitbreidingsrelease of als een commando verzonden via het C2-kanaal dat hierna wordt besproken,” zei Tuckner.
Naast encryptie gebruikt de kwaadaardige extensie ook GitHub als command-and-control (C2) door een privé GitHub-repository te peilen naar eventuele nieuwe opdrachten die moeten worden uitgevoerd door het bestand “index.html” te parseren. De resultaten van de uitvoering van de opdracht worden teruggeschreven naar dezelfde repository in het bestand “requirements.txt” met behulp van een GitHub-toegangstoken dat in de code is ingebed.
Het GitHub-account dat aan de repository is gekoppeld – aykhanmv – blijft actief, waarbij de ontwikkelaar beweert afkomstig te zijn uit de stad Baku, Azerbeidzjan.
“Externe opmerkingen die de functionaliteit gedetailleerd beschrijven, README-bestanden met uitvoeringsinstructies en tijdelijke variabelen zijn duidelijke tekenen van ‘vibe-gecodeerde’ malware”, aldus Tuckner. “Het uitbreidingspakket bevatte per ongeluk decoderingstools, commando- en controleservercode en GitHub-toegangssleutels tot de C2-server, die andere mensen konden gebruiken om de C2 over te nemen.”
Trojaanse npm-pakketten Verwijderen Vidar Infostealer
De onthulling komt op het moment dat Datadog Security Labs 17 npm-pakketten heeft opgegraven die zich voordoen als goedaardige software-ontwikkelingskits (SDK’s) en de geadverteerde functionaliteit bieden, maar zijn ontworpen om Vidar Stealer heimelijk uit te voeren op geïnfecteerde systemen. Deze ontwikkeling markeert de eerste keer dat de informatiediefstal via het npm-register wordt verspreid.
Het cyberbeveiligingsbedrijf, dat het cluster volgt onder de naam MUT-4831, zei dat sommige pakketten voor het eerst werden gemarkeerd op 21 oktober 2025, waarna de daaropvolgende uploads de volgende dag en op 26 oktober werden geregistreerd. De namen van de pakketten, gepubliceerd door accounts genaamd “aartje” en “saliii229911”, staan hieronder –
- abeya-tg-api
- bael-god-admin
- bael-god-api
- bael-god-bedankt
- botty-vork-baby
- cursor-ai-vork
- cursor-app-vork
- aangepaste-telegram-bot-api
- aangepast-tg-bot-plan
- icon-reageer-vork
- reageer-icon-pkg
- sabaoa-tg-api
- sabay-tg-api
- sai-tg-api
- salli-tg-api
- telegram-bot-start
- telegram-bot-starter
Hoewel de twee accounts sindsdien zijn verboden, zijn de bibliotheken minstens 2.240 keer gedownload voordat ze werden verwijderd. Dat gezegd hebbende, merkte Datadog op dat veel van deze downloads waarschijnlijk het resultaat waren van geautomatiseerde scrapers.
De aanvalsketen is op zichzelf redelijk eenvoudig en begint als onderdeel van een postinstall-script dat is gespecificeerd in het bestand “package.json” dat een ZIP-archief downloadt van een externe server (“bullethost(.)cloud-domein”) en het uitvoerbare bestand Vidar uitvoert dat zich in het ZIP-bestand bevindt. Het is gebleken dat de Vidar 2.0-voorbeelden hardgecodeerde Telegram- en Steam-accounts gebruiken als dead drop-resolvers om de daadwerkelijke C2-server op te halen.
In sommige varianten wordt een PowerShell-script na de installatie, rechtstreeks ingebed in het package.json-bestand, gebruikt om het ZIP-archief te downloaden, waarna de uitvoeringscontrole wordt doorgegeven aan een JavaScript-bestand om de rest van de stappen in de aanval te voltooien.
‘
“Het is niet duidelijk waarom MUT-4831 ervoor heeft gekozen om het post-install-script op deze manier te variëren”, zeggen beveiligingsonderzoekers Tesnim Hamdouni, Ian Kretz en Sebastian Obregoso. “Een mogelijke verklaring is dat het diversifiëren van implementaties voordelig kan zijn voor de dreigingsactor in termen van het overleven van detectie.”
De ontdekking is slechts de zoveelste in een lange lijst van supply chain-aanvallen gericht op het open-source-ecosysteem dat zich uitstrekt over npm, PyPI, RubyGems en Open VSX, waardoor het van cruciaal belang is dat ontwikkelaars due diligence uitvoeren, changelogs bekijken en opletten voor technieken als typosquatting en verwarring over afhankelijkheid voordat ze pakketten installeren.
