Los investigadores de ciberseguridad han descubierto dos nuevas extensiones en Microsoft Visual Studio Code (VS Code) Marketplace que están diseñadas para infectar las máquinas de los desarrolladores con malware robador.
Las extensiones VS Code se hacen pasar por un tema oscuro de primera calidad y un asistente de codificación impulsado por inteligencia artificial (IA), pero, en realidad, albergan funciones encubiertas para descargar cargas útiles adicionales, tomar capturas de pantalla y extraer datos. La información capturada se envía luego a un servidor controlado por un atacante.
«Tu código. Tus correos electrónicos. Tus mensajes directos de Slack. Lo que sea que esté en tu pantalla, ellos también lo ven», dijo Idan Dardikman, de Koi Security dijo . «Y eso es solo el comienzo. También roba tus contraseñas WiFi, lee tu portapapeles y secuestra tus sesiones de navegación».
Los nombres de las extensiones están abajo -
- Bigblack.bitcoin-black (16 instalaciones): Microsoft lo retiró el 5 de diciembre de 2025
- Bigblack.codo-ai (25 instalaciones): Microsoft lo retiró el 8 de diciembre de 2025
Lista de extensiones eliminadas de Marketplace de Microsoft muestra que la empresa también retiró un tercer paquete llamado «BigBlack.MrBigBlackTheme» del mismo editor por contener malware.
Mientras que «BigBlack.Bitcoin-Black» se activa en cada acción de VS Code, Codo AI incorpora su funcionalidad maliciosa en una herramienta de trabajo, lo que le permite eludir la detección.
Las versiones anteriores de las extensiones permitían ejecutar un script de PowerShell para descargar un archivo ZIP protegido con contraseña desde un servidor externo («syn1112223334445556667778889990 [.] org») y extraer de él la carga útil principal mediante cuatro métodos diferentes: Expand-Archive nativo de Windows, .NET System.IO.Compression, DotNetZip y 7-Zip (si está instalado).
Dicho esto, se dice que el atacante envió inadvertidamente una versión que creó una ventana visible de PowerShell y podría haber alertado al usuario. Sin embargo, se ha descubierto que las iteraciones posteriores ocultan la ventana y agilizan todo el proceso al cambiar a un script por lotes que usa un comando curl para descargar el ejecutable y la DLL.
El ejecutable es el binario Lightshot legítimo que se usa para cargar la DLL falsa (» Lightshot.dll «) mediante el secuestro de DLL, que procede a recopilar el contenido del portapapeles, una lista de aplicaciones instaladas, procesos en ejecución, capturas de pantalla del escritorio, credenciales de Wi-Fi almacenadas e información detallada del sistema. También lanza Google Chrome y Microsoft Edge en modo headless para capturar las cookies almacenadas y secuestrar las sesiones de los usuarios.
«Un desarrollador podría instalar lo que parece un tema inofensivo o una herramienta de inteligencia artificial útil y, en cuestión de segundos, sus contraseñas WiFi, el contenido del portapapeles y las sesiones del navegador se filtran a un servidor remoto», afirma Dardikman.
La revelación se produce cuando Socket dijo que identificó paquetes maliciosos en los ecosistemas Go, npm y Rust que son capaces de recopilar datos confidenciales -
- Ve a los paquetes denominados «github [.] com/bpoorman/uuid» y «github [.] com/bpoorman/uid» que están disponibles desde 2021 y a las bibliotecas de UUID confiables de Typosquat («github [.] com/google/uuid» y «github [.] com/pborman/uuid») a exfiltrar datos a un sitio de pegado llamado dpaste cuando una aplicación invoca explícitamente una supuesta función auxiliar denominada «válida» junto con la información que se va a validar.
- Un conjunto de 420 paquetes npm únicos publicado por un probable actor de amenazas francófono que sigue un patrón de nomenclatura coherente, que incluye «elf-stats-*», algunos de los cuales contienen código para ejecutar un shell inverso y filtrar archivos a un punto final de Pipedream.
- Una caja de óxido llamada Finch-rust publicada por faceless, que se hace pasar por la herramienta bioinformática legítima «finch» y sirve como cargador de una carga maliciosa a través de un paquete de robo de credenciales conocido como «sha-rust» cuando un desarrollador utiliza la función de serialización de bocetos de la biblioteca.
«Finch-rust actúa como un cargador de malware; contiene en su mayoría código legítimo copiado del paquete finch legítimo, pero incluye una sola línea maliciosa que carga y ejecuta la carga útil de sha-rust», afirma Kush Pandya, investigador de Socket. «Esta separación de los problemas dificulta la detección: finch-rust parece benigno de forma aislada, mientras que sha-rust contiene el malware propiamente dicho».