Показать HN: VSCan — обнаружение вредоносных расширений VSCode ( vscan.dev ) Знаете ли вы, что расширения VSCode работают с полным доступом к вашей системе, включая файловую систему, сеть и учетные данные? Хуже того, десятки вредоносных расширений уже появились на рынке, незаметно компрометируя устройства.
Я исследователь безопасности и студент-разработчик, который сам столкнулся с этой проблемой. Чтобы помочь решить ее, я создал 100% бесплатный инструмент (не требуется вход в систему), который сканирует расширения VSCode (и Cursor/Windsurf) на предмет:
– Скрытое вредоносное ПО и запутанный код
– Опасные разрешения и неправильное использование API
– Уязвимые зависимости и подозрительные сетевые соединения
Пользователи уже обнаружили сотни уязвимостей в расширениях. VSCan генерирует чистый, удобный для разработчиков отчет о безопасности, чтобы помочь вам понять, что вы устанавливаете.
Попробуйте: https://www.vscan.dev
Я также разработал собственную архитектуру безопасности sandboxing, чтобы ограничить вредоносную активность расширений во время выполнения. Не существует технологии, которая делает это, поэтому, если вы заинтересованы в том, чтобы попробовать ее или узнать больше, пожалуйста, свяжитесь с нами!
Буду очень признателен за любые отзывы и спасибо за вашу помощь!
_______________________________________________________________________________
Вот некоторые цифры, которые я обнаружил в выборке из 1077 расширений, доступных на Marketplace:
– 3 расширения отмечены VirusTotal как вредоносные. – 7 расширений используют вредоносные сетевые соединения (проверено VirusTotal). – 33 расширения имеют зависимости с критическими уязвимостями. – 39 расширений содержат конфиденциальную информацию (я видел ключи API, имена пользователей, пароли и т. д.). – 204 расширения имеют плохие методы разработки, отмеченные OSSF. – 71 расширение имеет очень высокие разрешения (хотя и неплохие, но это может быть признаком потенциально вредоносной активности).
В качестве примера приведем ссылку на анализ расширения с вредоносными сетевыми конечными точками: https://vscan.dev/?analysisId=9e6c1849-3973-402b-a4ff-3b4023…
Source: news.ycombinator.com