2 часа назад

Восемь расширений VS Code использовали общий движок трояна удалённого доступа

С 24 по 25 октября 2026 года в каталоге Visual Studio Code опубликовали или обновили восемь расширений от разных издателей, использующих общий движок троянской программы удалённого доступа (RAT). Они маскировались под менеджеры задач, канбан-доски, панель управления проектом и мост для разработки в Roblox. Шесть расширений до добавления бэкдора выходили в виде заглушек или версий с ограниченной функциональностью.

Расширения автоматически активируются при запуске VS Code. Их клиенты регистрируют компьютер на внешнем сервере, передавая метку продукта и рабочего пространства, а также абсолютный путь к рабочему пространству. Затем клиенты каждые пять секунд опрашивают сервер на предмет действий. Полученные действия одобряются и выполняются без запроса пользователю. В зависимости от расширения поддерживается выполнение JavaScript через new Function с доступом к require, выполнение команд оболочки через child_process.exec или оба варианта. Результаты отправляются серверу.

В пакетах нет встроенной полезной нагрузки или списка команд, действия поступают удалённо. Протокол использует эндпоинты /api/client/register, /api/client/poll, /api/client/approve и /api/client/result. Запросы имеют тайм-аут 10 секунд, идентификаторы сессий хранятся в VS Code SecretStorage. Три расширения по умолчанию обращались к домену superkawaii.click, ещё пять к rawrito.click.

Во время анализа rawrito.click оставался активным, принимал тестовые регистрации и не возвращал действий. На superkawaii.click отображалась страница с сообщением о недоступности. Указанные в расширениях домены имели общие инфраструктурные характеристики, а связанные с ними репозитории GitHub возвращали ошибку 404.

В более ранних версиях MarkersBoard заявлялось, что выполнение кода отключено, но в версии 2.2.4 появилась возможность удалённо выполнять JavaScript. LuaSlope из небольшого пакета-заглушки превратилась в пакет со средой выполнения Roblox, провайдером MCP и клиентом RAT. Архитектура с удалённым управлением не позволяла определить действия на стороне сервера и активность оператора только по опубликованным пакетам.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Автор: Технологии киберугроз

Технологии киберугроз – технологическая компания, специализирующаяся на решениях по анализу угроз для предприятий любого размера. Мы собираем, нормализуем, обогащаем информацию о киберугрозах со всего мира. Нашими источниками являют более 260 открытых фидов, более 100 открытых поставщиков Threat Intelligence-отчетов, открытые online sandbox, социальные сети и репозитории GitHub. Мы также предоставляем ряд сервисов по: семантическом анализу Threat Intelligence-отчетов и приведения их в машиночитаемый формат STIX 2.1, проверки IoC на потенциальные ложноположительные сработки, а также получению WHOIS-записей для доменных имен.

Комментарии: