VS Code マルウェア注意喚起

7/30のVSCode Meetupで、注意喚起を受け
社内で展開した際に作った資料

Transcript

1. VS Code 拡張機能 マルウェア注意喚起 VS Code ＆ GitHub Copilotお悩み相談会 2024年7⽉31⽇
2. 2 4万5000回 アイスブレイク 何の数字？
3. 3 4万5000回 アイスブレイク 何の数字？ マルウェア
4. ことの始まりは、前日のVSCode Meetupでの注意喚起 4 VS Code 拡張機能 マルウェア注意喚起 出典： VS Code Meetup #30 - Visual Studio Codeの教 科書/出版記念!! - YouTube https://www.youtube.com/watch?v=MiTqD08 OQ0w&t=4131s
5. 5 VS Code 拡張機能 マルウェア注意喚起 • とあるセキュリティ研究者が、Visual Studio Code拡張機能のエコシステムに マルウェアが入り込む脆弱性があると指摘 ◦ エコシステム・・・拡張機能のチェック、公開、認証の部分 • 試しに、人気テーマである「Dracula Official」に模した「Darcula Official」として 公開したところ、1日待たずして「100回」のダウンロードを獲得 ◦ 無害な拡張機能ではあるが、インストール状況を外部に送信していた ◦ 数日後には ▪ 「時価総額4830億ドルの大企業のWindowsマシン」 ▪ 「時価総額数十億ドル規模の有名企業のマシン」 ▪ 「世界最大級のセキュリティ企業のマシン」 ▪ 「裁判所のネットワークに接続するマシン」などにもインストールされた • インストール後に改変も可能だということ ◦ つまり、最初は無害な拡張機能として出して、後から悪意あるコードを埋め込むことも可能 ◦ ほかにも、メンテナンスされていない拡張機能をのっとって悪意あるコードを埋め込むなど
6. 6 もはや、⼈の⼿では防 御しようがない VS Code 拡張機能 マルウェア注意喚起
7. 7 対応策 出典： ExtensionTotal | Analyze suspicious IDE extensions https://www.extensiontotal.com/ 今回の発端となった セキュリティ研究者が作った拡張 機能と、マルウェア脅威診断デー タベース 100%信頼できるわけではありま せんが、 それなりに信頼ができそう。
8. • Check Point、悪意あるコードを含んだVSCode拡張機能の発見を報 告　すでに削除済みだが配布開始から1年以上経過：PII窃取やバック ドアを狙うマルウェアも検出 - ＠IT ◦ https://atmarkit.itmedia.co.jp/ait/articles/2306/05/news028.html • VSCodeの偽拡張機能を作ったらダウンロードされまくり＆悪意ある コードを簡単に仕込めるVSCode拡張機能システムの欠陥も明らかに なったという報告 - GIGAZINE ◦ https://gigazine.net/news/20240611-visual-studio-code-extension-risk/ • ExtensionTotal | Analyze suspicious IDE extensions ◦ https://www.extensiontotal.com/ • ExtensionTotal - Visual Studio Marketplace ◦ https://marketplace.visualstudio.com/items?itemName=extensiontotal.extensiont otal-vscode 参考URL 8