77 extensiones Evil Twin Open VSX filtran el repositorio privado de Git y los datos de CI

Una oleada de extensiones falsificadas en Open VSX ha dejado en evidencia con qué facilidad una herramienta de desarrollo cotidiana puede convertirse en un canal de recopilación de datos. Setenta y siete paquetes copiaron los nombres, espacios de nombres y descripciones de extensiones legítimas, y todos ellos se comunicaban con un mismo dominio registrado recientemente.

La mayoría de los paquetes enviaba datos básicos del dispositivo, pero 19 incorporaban una rutina de reconocimiento mucho más intrusiva, capaz de recopilar información de repositorios y de integración continua desde las estaciones de trabajo de los desarrolladores y los entornos de compilación.

Función ciIdentity() dentro de extension.js, encargada de recopilar datos de identidad de CI (fuente: varias).

Los nombres de repositorios privados, las rutas de los proyectos, los detalles de las ramas y los identificadores de CI pueden revelar el trabajo de desarrollo interno de una organización, lo que los hace valiosos para campañas de phishing dirigido, intentos de intrusión posteriores o el mapeo de una cadena de suministro de software.

77 extensiones "gemelas malignas" en Open VSX

Los paquetes maliciosos recurrían a un método de suplantación sencillo pero eficaz. El caso recuerda a las recientes extensiones durmientes detectadas en Open VSX, que demostraron cómo un paquete malicioso puede permanecer a la espera dentro de los ecosistemas de desarrollo.

El 3 de agosto los paquetes ya habían sido retirados de Open VSX, pero esa eliminación no borra el código que ya se encuentra en las imágenes de las estaciones de trabajo, en los sistemas de compilación o en la configuración de los repositorios.

La publicación 77 extensiones "gemelas malignas" en Open VSX filtran datos de repositorios privados de Git y de CI apareció por primera vez en Cyber Security News.

Consultar publicación original ↗