{"id":23482,"date":"2025-11-14T08:00:00","date_gmt":"2025-11-14T11:00:00","guid":{"rendered":"https:\/\/www.ethicalhacker.com.br\/site\/?p=23482"},"modified":"2025-11-09T22:38:43","modified_gmt":"2025-11-10T01:38:43","slug":"extensao-maliciosa-com-capacidades-de-ransomware","status":"publish","type":"post","link":"https:\/\/www.ethicalhacker.com.br\/site\/2025\/11\/exploits\/extensao-maliciosa-com-capacidades-de-ransomware\/","title":{"rendered":"Extens\u00e3o maliciosa com capacidades de ransomware"},"content":{"rendered":"\n<p style=\"text-align: justify;\" data-start=\"0\" data-end=\"677\"><strong data-start=\"0\" data-end=\"129\">Extens\u00e3o maliciosa com capacidades de ransomware entra na loja oficial Visual Studio Code (Marketplace) \u2014 an\u00e1lise aprofundada<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"0\" data-end=\"677\">No in\u00edcio de novembro de 2025, pesquisadores da Secure Annex identificaram uma extens\u00e3o maliciosa publicada na loja de extens\u00f5es do Visual Studio Code, sob o nome \u201csusvsex\u201d e com autor identificado como \u201csuspublisher18\u201d. A extens\u00e3o fingia ser leg\u00edtima, mas sua descri\u00e7\u00e3o, c\u00f3digo-fonte e artefatos internos revelavam funcionalidades de ransomware \u2014 compacta\u00e7\u00e3o de arquivos (.zip), cifragem com AES-256-CBC, upload para servidor remoto de comando e controle (C2) e ativa\u00e7\u00e3o quase imediata ap\u00f3s a instala\u00e7\u00e3o.<\/p>\n<p data-start=\"0\" data-end=\"677\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"679\" data-end=\"1369\"><strong data-start=\"679\" data-end=\"714\">Funcionamento t\u00e9cnico da amea\u00e7a<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"679\" data-end=\"1369\">Ao instalar a extens\u00e3o, ela imediatamente disparava a execu\u00e7\u00e3o do arquivo <code data-start=\"791\" data-end=\"805\">extension.js<\/code>, que continha vari\u00e1veis codificadas com IP do servidor C2, tokens de acesso (PAT) para reposit\u00f3rio GitHub e chaves de cifragem. Conforme a an\u00e1lise, o m\u00f3dulo verificava a presen\u00e7a de um arquivo-marcador, realizava a compacta\u00e7\u00e3o de dados de um diret\u00f3rio pr\u00e9-configurado, os enviava ao C2 e em seguida cifrava os originais, substituindo-os por vers\u00f5es criptografadas. A extens\u00e3o utilizava o GitHub como infraestrutura C2, monitorando o commit em um <code data-start=\"1252\" data-end=\"1264\">index.html<\/code> para novas ordens e escrevendo resultados em <code data-start=\"1310\" data-end=\"1328\">requirements.txt<\/code>.<\/p>\n<p style=\"text-align: justify;\" data-start=\"1371\" data-end=\"1657\">Uma caracter\u00edstica curiosa \u00e9 que o c\u00f3digo apresentava \u201ccoment\u00e1rios\u201d internos que indicavam ter sido gerado via intelig\u00eancia artificial (IA) \u2014 o que levou os pesquisadores a classificar a amea\u00e7a como \u201cAI-slop\u201d (c\u00f3digo gerado por IA, n\u00e3o refinado).<\/p>\n<p data-start=\"1371\" data-end=\"1657\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"1659\" data-end=\"2166\"><strong data-start=\"1659\" data-end=\"1709\">Vetores de entrega, evas\u00e3o e contexto de risco<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"1659\" data-end=\"2166\">A publica\u00e7\u00e3o da extens\u00e3o maliciosa em mercado oficial evidencia vulnerabilidades nos processos de revis\u00e3o e verifica\u00e7\u00e3o da plataforma do VS Code. Mesmo com descri\u00e7\u00e3o aberta sobre as funcionalidades maliciosas \u2014 \u201czips, uploads and encrypts files from C:\\Users\\Public\\testing on Windows\u201d \u2014 a extens\u00e3o permaneceu dispon\u00edvel ap\u00f3s reporte inicial, sendo removida apenas ap\u00f3s divulga\u00e7\u00e3o p\u00fablica e cobran\u00e7a da comunidade.<\/p>\n<p style=\"text-align: justify;\" data-start=\"2168\" data-end=\"2643\">Adicionalmente, o uso de infraestrutura \u201cleg\u00edtima\u201d (GitHub) e diret\u00f3rios relativamente neutros para teste (\u201cUsers\/Public\/testing\u201d) reduzam suspeitas iniciais e facilitam a infiltra\u00e7\u00e3o. A extens\u00e3o poderia facilmente evoluir para alvo mais amplo ou diret\u00f3rio padr\u00e3o de usu\u00e1rio em pr\u00f3ximas vers\u00f5es. O ecossistema de extens\u00f5es para IDEs passa a ser vetor de ataque relevante, especialmente em ambientes de desenvolvimento ou CI\/CD onde permiss\u00f5es elevadas podem ser concedidas.<\/p>\n<p data-start=\"2168\" data-end=\"2643\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"2645\" data-end=\"2719\"><strong data-start=\"2645\" data-end=\"2717\">Implica\u00e7\u00f5es para desenvolvedores, empresas e cadeias de fornecimento<\/strong><\/p>\n<ul style=\"text-align: justify;\" data-start=\"2720\" data-end=\"3703\">\n<li data-start=\"2720\" data-end=\"2987\">\n<p data-start=\"2722\" data-end=\"2987\"><strong data-start=\"2722\" data-end=\"2773\">Desenvolvedores individuais ou equipes pequenas<\/strong>: a instala\u00e7\u00e3o de extens\u00f5es expl\u00edcitas no ambiente de desenvolvimento representa risco direto de exfiltra\u00e7\u00e3o de c\u00f3digo-fonte, credenciais internas, bastando que a extens\u00e3o conte com permiss\u00f5es de leitura\/escrita.<\/p>\n<\/li>\n<li data-start=\"2988\" data-end=\"3220\">\n<p data-start=\"2990\" data-end=\"3220\"><strong data-start=\"2990\" data-end=\"3027\">Empresas e ambientes corporativos<\/strong>: extens\u00f5es maliciosas em IDEs podem servir como porta de entrada para ataques de supply chain, acesso \u00e0 infraestrutura de build, publica\u00e7\u00e3o de artefatos ou inser\u00e7\u00e3o de malwares em pipelines.<\/p>\n<\/li>\n<li data-start=\"3221\" data-end=\"3703\">\n<p data-start=\"3223\" data-end=\"3703\"><strong data-start=\"3223\" data-end=\"3274\">Governan\u00e7a de software e cadeia de fornecimento<\/strong>: a publica\u00e7\u00e3o de c\u00f3digo malicioso em marketplace oficiais demonstra que o ciclo de vida de softwares abertos (open source) e extens\u00f5es complementares exige pol\u00edticas de seguran\u00e7a, listas brancas, revis\u00e3o de permiss\u00f5es e an\u00e1lise de comportamento. O fato de c\u00f3digo potencialmente gerado por IA ter passado despercebido tamb\u00e9m levanta quest\u00f5es sobre automa\u00e7\u00e3o no desenvolvimento e reutiliza\u00e7\u00e3o de pacotes\/extens\u00f5es sem auditoria.<\/p>\n<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"3705\" data-end=\"3748\"><strong data-start=\"3705\" data-end=\"3746\">Recomenda\u00e7\u00f5es de mitiga\u00e7\u00e3o e resposta<\/strong><\/p>\n<ul style=\"text-align: justify;\" data-start=\"3749\" data-end=\"5130\">\n<li data-start=\"3749\" data-end=\"3946\">\n<p data-start=\"3752\" data-end=\"3946\"><strong data-start=\"3752\" data-end=\"3788\">Pol\u00edtica de permiss\u00f5es restritas<\/strong>: limitar a instala\u00e7\u00e3o de extens\u00f5es em ambientes de desenvolvimento cr\u00edticos, delegar permiss\u00f5es m\u00ednimas, revisar quais extens\u00f5es t\u00eam acesso a disco e rede.<\/p>\n<\/li>\n<li data-start=\"3947\" data-end=\"4138\">\n<p data-start=\"3950\" data-end=\"4138\"><strong data-start=\"3950\" data-end=\"4003\">Lista branca (allow-list) de extens\u00f5es confi\u00e1veis<\/strong>: para organiza\u00e7\u00f5es, criar cat\u00e1logos internos de extens\u00f5es validadas, evitando instala\u00e7\u00e3o indiscriminada de componentes de terceiros.<\/p>\n<\/li>\n<li data-start=\"4139\" data-end=\"4356\">\n<p data-start=\"4142\" data-end=\"4356\"><strong data-start=\"4142\" data-end=\"4188\">Monitoramento de comportamento e auditoria<\/strong>: implementar detec\u00e7\u00e3o de anomalias em arquivos de projeto, processos de build\/pipeline, atividades de rede n\u00e3o usuais originadas de IDEs ou hosts de desenvolvimento.<\/p>\n<\/li>\n<li data-start=\"4357\" data-end=\"4601\">\n<p data-start=\"4360\" data-end=\"4601\"><strong data-start=\"4360\" data-end=\"4391\">Educa\u00e7\u00e3o de desenvolvedores<\/strong>: conscientizar sobre riscos de extens\u00f5es: at\u00e9 \u201cferramentas de produtividade\u201d podem ocultar funcionalidades maliciosas \u2014 verificar autor, c\u00f3digo-fonte (se aberto), permiss\u00f5es, e reputa\u00e7\u00e3o antes da instala\u00e7\u00e3o.<\/p>\n<\/li>\n<li data-start=\"4602\" data-end=\"4905\">\n<p data-start=\"4605\" data-end=\"4905\"><strong data-start=\"4605\" data-end=\"4646\">Resposta a incidentes de supply chain<\/strong>: manter plano de remedia\u00e7\u00e3o para casos em que c\u00f3digo de build ou artefatos foram comprometidos via extens\u00e3o maliciosa \u2014 an\u00e1lise forense, revoga\u00e7\u00e3o de credenciais, reconstru\u00e7\u00e3o de ambientes limpos, e an\u00e1lise de impacto (incluindo c\u00f3digo-fonte e publica\u00e7\u00e3o).<\/p>\n<\/li>\n<li data-start=\"4906\" data-end=\"5130\">\n<p data-start=\"4909\" data-end=\"5130\"><strong data-start=\"4909\" data-end=\"4955\">Revis\u00e3o de permiss\u00f5es de rede e segrega\u00e7ao<\/strong>: garantir que hosts de desenvolvimento\/IDE n\u00e3o tenham privil\u00e9gios irrestritos de escrita\/execu\u00e7\u00e3o em produ\u00e7\u00e3o ou publica\u00e7\u00e3o autom\u00e1tica \u2014 isolar builds, pipeline e produ\u00e7\u00e3o.<\/p>\n<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"5132\" data-end=\"6128\"><strong data-start=\"5132\" data-end=\"5145\">Conclus\u00e3o<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"5132\" data-end=\"6128\">O incidente envolvendo a extens\u00e3o \u201csusvsex\u201d no VS Code Marketplace serve como alerta potente para a comunidade de desenvolvimento, seguran\u00e7a e governan\u00e7a de software: a cadeia de fornecimento de software estendeu-se para ambientes de IDEs e extens\u00f5es aparentemente benignas. A combina\u00e7\u00e3o de IA para gera\u00e7\u00e3o de c\u00f3digo, uso de infraestrutura legitima\u00a0 (como GitHub), acessos amplos concedidos a plugins de desenvolvimento e falhas nos processos de revis\u00e3o de marketplaces abriu uma janela para riscos de ransomware, exfiltra\u00e7\u00e3o e comprometimento de ambientes de desenvolvimento e produ\u00e7\u00e3o. Proteger ambientes de c\u00f3digo exige n\u00e3o apenas boas pr\u00e1ticas de patch ou antiv\u00edrus, mas uma postura de defesa profunda: restri\u00e7\u00e3o de permiss\u00f5es, visibilidade constante, auditoria de extens\u00f5es e pol\u00edticas de governan\u00e7a de software. Em suma: em 2025, a seguran\u00e7a de software n\u00e3o \u00e9 apenas \u201cquem desenvolve\u201d, mas \u201co que e como instala\u201d, e isso se tornou um vetor cr\u00edtico de prote\u00e7\u00e3o ou risco.<\/p>\n<p data-start=\"5132\" data-end=\"6128\">\u00a0<\/p>\n<p data-start=\"6130\" data-end=\"6162\"><strong data-start=\"6130\" data-end=\"6160\">Refer\u00eancias bibliogr\u00e1ficas<\/strong><\/p>\n<ul data-start=\"6163\" data-end=\"6659\">\n<li data-start=\"6163\" data-end=\"6398\">\n<p data-start=\"6166\" data-end=\"6398\">Bleeping Computer. \u201cAI-Slop ransomware test sneaks on to VS Code marketplace\u201d. Dispon\u00edvel em: <a class=\"decorated-link\" href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/ai-slop-ransomware-test-sneaks-on-to-vs-code-marketplace\/?utm_source=chatgpt.com\" target=\"_new\" rel=\"noopener\" data-start=\"6260\" data-end=\"6364\">https:\/\/www.bleepingcomputer.com\/news\/security\/ai-slop-ransomware-test-sneaks-on-to-vs-code-marketplace\/<\/a>\u00a0<\/p>\n<\/li>\n<li data-start=\"6399\" data-end=\"6659\">\n<p data-start=\"6402\" data-end=\"6659\">CSO Online. \u201cVibe-coded ransomware proof-of-concept ended up on Microsoft\u2019s marketplace\u201d. Dispon\u00edvel em: <a class=\"decorated-link\" href=\"https:\/\/www.csoonline.com\/article\/4086639\/vibe-coded-ransomware-proof-of-concept-ended-up-on-microsofts-marketplace.html?utm_source=chatgpt.com\" target=\"_new\" rel=\"noopener\" data-start=\"6507\" data-end=\"6627\">https:\/\/www.csoonline.com\/article\/4086639\/vibe-coded-ransomware-proof-of-concept-ended-up-on-microsofts-marketplace.html<\/a>\u00a0<\/p>\n<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Extens\u00e3o maliciosa com capacidades de ransomware entra na loja oficial Visual Studio Code (Marketplace) \u2014 an\u00e1lise aprofundada No in\u00edcio de novembro de 2025, pesquisadores da Secure Annex identificaram uma extens\u00e3o maliciosa publicada na loja de extens\u00f5es do Visual Studio Code, sob o nome \u201csusvsex\u201d e com autor identificado como \u201csuspublisher18\u201d. A extens\u00e3o fingia ser leg\u00edtima, [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":23485,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[89,100,21,105],"tags":[],"class_list":["post-23482","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-basico","category-diversos","category-exploits","category-noticias"],"_links":{"self":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/23482","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/comments?post=23482"}],"version-history":[{"count":3,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/23482\/revisions"}],"predecessor-version":[{"id":23488,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/23482\/revisions\/23488"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media\/23485"}],"wp:attachment":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media?parent=23482"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/categories?post=23482"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/tags?post=23482"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}