Uma investigação recente revelou que nove extensões disponíveis no marketplace oficial do Visual Studio Code (VSCode) estavam infectando usuários do Windows com malware especializado em mineração de criptomoedas. Embora se apresentassem como utilitários legítimos, esses complementos escondiam o minerador XMRig, utilizado para minerar moedas como Monero (XMR) e Ethereum (ETH).
Ferramentas falsas usam o Visual Studio Code para espalhar malware
O Visual Studio Code, da Microsoft, é amplamente utilizado por desenvolvedores por sua versatilidade e suporte a extensões. Essas ferramentas adicionais podem ser instaladas por meio do VSCode Marketplace, o que torna o ambiente ainda mais funcional — e, infelizmente, vulnerável.
Lista de extensões comprometidas
A descoberta, feita pelo pesquisador Yuval Ronen da plataforma ExtensionTotal, ocorreu no dia 4 de abril de 2025. Todas as extensões investigadas estavam disponíveis no portal oficial da Microsoft. Veja algumas das mais notáveis:
- Discord Rich Presence para VS Code (por Mark H) – 189 mil instalações
- Rojo – Roblox Studio Sync (por evaera) – 117 mil instalações
- Solidity Compiler (por VSCode Developer) – 1,3 mil instalações
- Claude AI, Compilador Golang, Agente ChatGPT, HTML Obfuscator, Python Obfuscator e Compilador Rust, todos atribuídos a Mark H
Apesar de parecerem populares, com mais de 300 mil instalações combinadas, há indícios de que esses números foram inflados artificialmente para aumentar a credibilidade das extensões.
Como o ataque funciona
Ao serem ativadas, essas extensões maliciosas acessam um script PowerShell hospedado externamente, no domínio asdf11[.]xyz. Esse script realiza uma série de ações silenciosas no sistema:
Notícias Relacionadas
Ameaça cibernética
Campanha de phishing atinge usuários do WooCommerce com patches falsos e implanta backdoors
Pesquisadores de segurança cibernética estão alertando sobre uma campanha de phishing em grande escala, que tem como alvo usuários do WooCommerce. A ameaça envolve um alerta falso sobre vulnerabilidades de segurança, com a falsa promessa de fornecer um “patch crítico” para corrigir problemas inexistentes. Na realidade, o download do patch instala um backdoor no site […]
Segurança digital
DragonForce lança cartel de ransomware com modelo de marca branca
O cenário de ataques cibernéticos está passando por uma transformação significativa, impulsionada pelo grupo DragonForce, que propôs uma nova abordagem no mercado de ransomware. Em vez de seguir o tradicional modelo de ransomware como serviço (RaaS), a DragonForce está estruturando um cartel que oferece infraestrutura completa para afiliados, permitindo que eles operem com suas próprias […]
- Persistência e inicialização automática: cria uma tarefa chamada OnedriveStartup e injeta um código no Registro do Windows para executar o arquivo Launcher.exe sempre que o sistema for iniciado.
- Desativação de proteções: desliga o Windows Update e outros serviços relacionados, além de inserir o diretório do malware na lista de exceções do Windows Defender.
- Escalada de privilégios: caso não tenha privilégios administrativos, o malware simula o processo ComputerDefaults.exe e utiliza uma biblioteca MLANG.dll maliciosa para conseguir permissões elevadas.
- Instalação do minerador: com as defesas desativadas, o script se conecta ao servidor
myaunet[.]su, decodifica um executável em base64 e instala o XMRig, que começa a minerar Monero em segundo plano.
Indícios de ataque ampliado
Durante a análise do domínio dos invasores, foi encontrado um diretório npm/, sugerindo que a mesma campanha pode estar se espalhando por meio de pacotes no NPM — outro ecossistema de desenvolvimento amplamente utilizado. No entanto, até o momento, os arquivos maliciosos não foram encontrados publicamente nessa plataforma.
O que fazer se você foi afetado
Se você instalou alguma das nove extensões listadas, é essencial agir rapidamente:
- Remova imediatamente a extensão suspeita do VSCode.
- Verifique por tarefas agendadas com o nome OnedriveStartup.
- Revise o Registro do Windows e elimine entradas ligadas ao Launcher.exe.
- Apague pastas e arquivos desconhecidos em diretórios relacionados ao VSCode.
Conclusão
A Microsoft ainda não removeu as extensões do Marketplace, mas já foi notificada. Esse caso serve de alerta para desenvolvedores e profissionais de TI: mesmo plataformas oficiais não estão isentas de riscos. Avaliar a procedência e revisar o comportamento de extensões antes de instalá-las é essencial para garantir a segurança do ambiente de desenvolvimento.
