恶意扩展可滥用 VS Code 漏洞窃取认证令牌
我要评论微软的恶意 Visual Studio Code (VS Code) 代码编辑器存在一个漏洞 ，允许恶意扩展程序检索 Windows 、扩展可滥Linux 和 macOS 中存储的洞窃身份验证令牌 。
这些令牌用于集成各种第三方服务和 API，证令如 Git、恶意GitHub 和其他编码平台 ，扩展可滥因此窃取这些令牌可能会对数据安全造成重大影响 ，洞窃导致未经授权的证令系统访问、数据泄露等。恶意
Cycode 研究人员发现了这个漏洞 ，扩展可滥并将其连同他们开发的洞窃概念验证（PoC）报告给了微软 。然而 ，证令微软并没有修复它的源码库恶意打算 ，因为扩展程序不应该与其他环境隔绝。扩展可滥
Cycode 发现的洞窃安全问题是由于 VS Code 的 "秘密存储"（Secret Storage）缺乏对身份验证令牌的隔离造成的 ，该 API 允许扩展在操作系统中存储身份验证令牌 。这需要使用 Keytar ，即 VS Code 与 Windows 凭据管理器（Windows） 、钥匙串（macOS）或钥匙圈（Linux）通信的封装程序。
这意味着在 VS Code 中运行的任何扩展 ，甚至是亿华云恶意扩展 ，都可以访问秘密存储器 ，并滥用 Keytar 来检索任何存储的令牌 。
发现这个问题后，Cycode 的研究人员开始尝试创建一个恶意扩展来窃取 CircleCI 的令牌，CircleCI 是一个使用 VS Code 扩展的流行编码平台 。他们通过修改 CircleCI 的扩展来运行一条命令 ，从而暴露其安全令牌 ，甚至直接将其发送到研究人员的服务器上 。香港云服务器
渐渐地 ，他们开发出了一种用途更广的攻击方法 ，可以在不篡改目标扩展代码的情况下提取这些机密 。
此过程的关键是发现任何 VS Code 扩展都有权访问钥匙串 ，因为它是在操作系统已经授权访问钥匙串的应用程序内运行的 。
"我们开发了一个概念验证恶意扩展 ，它不仅能从其他扩展中成功获取令牌 ，还能从 VS Code 的内置登录和同步功能中获取 GitHub 和微软账户的模板下载令牌，从而实现了 "令牌窃取 "攻击"。- Cycode.
Cycode 发现 ，用于加密令牌的算法是 AES-256-GCM ，这通常是安全的 。然而 ，用于加密令牌的密钥是根据当前可执行路径和机器 ID 导出的 ，因此很容易重新创建密钥 。
检索到的高防服务器令牌通过在 VS Code 的 Electron 可执行文件中运行的自定义 JS 脚本进行解密，解密并打印本地安装的扩展的所有密码 。
微软并未修复Cycode 的分析师两个月前向微软披露了这个漏洞 ，甚至演示了他们的 PoC 扩展及其窃取存储扩展令牌的能力 。
然而 ，微软的工程师们并没有将此视为安全问题，并决定维持 VS Code 秘密存储管理框架的现有设计。源码下载
参考链接 ：https://www.bleepingcomputer.com/news/security/malicious-extensions-can-abuse-vs-code-flaw-to-steal-auth-tokens/
相关文章
企业继续数字化，其关键基础设施和运营扩大了攻击面，暴露于各种威胁途径的面前。为了解决这个问题，企业领导者认识到拥有内部专家的重要性。考虑到网络威胁领域不断发展的态势，企业领导者可以利用道德黑客以及红队2025-12-07
在当今的数字时代，由于网络威胁和网络犯罪的复杂性，网络安全是一个至关重要的问题。新技术的引入有利有弊。一方面，其可以被用来实施网络犯罪，这使得我们面临的威胁更加复杂。然而，如果应用得当，这些技术有可能2025-12-07
据网络安全供应商Cyberint的研究团队发现，近期LinkedIn 正成为一波黑客攻击的目标，许多帐户出于安全原因被锁定或劫持。Cyberint发现，最近几周，已有多位LinkedIn用户表示自己的2025-12-07
7 月 4 日消息，微软今年 6 月承认旗下 OneDrive、Microsoft 365、Azure 云服务受到黑客DDoS 攻击，导致服务反复中断。一个名为 Anonymous Sudan 的黑客2025-12-07
攻击面管理从2021年提出，经历两年发展，当前进入产品研发与深化落地阶段。有效的攻击面管理不止需要外部攻击面的资产纳管，同时需要考虑外部攻击面、网络空间资产攻击面的融合实现，兼顾风险管理的兼容和融合导2025-12-07
随着我们进入数字时代，网络犯罪的威胁继续以惊人的速度增长。在最流行的网络犯罪形式中，网络钓鱼仅在过去一年就出现了472%的攻击激增。企业在保护自己及其客户免受网络钓鱼诈骗方面需要比以往任何时候都更加警2025-12-07
最新评论