{"id":394316,"date":"2023-01-09T23:18:46","date_gmt":"2023-01-09T23:18:46","guid":{"rendered":"https:\/\/magazineoffice.com\/el-vscode-marketplace-es-bastante-facil-de-hackear-con-extensiones-maliciosas\/"},"modified":"2023-01-09T23:18:48","modified_gmt":"2023-01-09T23:18:48","slug":"el-vscode-marketplace-es-bastante-facil-de-hackear-con-extensiones-maliciosas","status":"publish","type":"post","link":"https:\/\/magazineoffice.com\/el-vscode-marketplace-es-bastante-facil-de-hackear-con-extensiones-maliciosas\/","title":{"rendered":"El VSCode Marketplace es bastante f\u00e1cil de hackear con extensiones maliciosas"},"content":{"rendered":"<p> <br \/>\n<\/p>\n<div id=\"article-body\">\n<p>VSCode Marketplace, un repositorio para las extensiones de Visual Studio Code (VSC), tiene defensas de seguridad deficientes, lo que permite a los actores de amenazas abusar de \u00e9l y distribuir c\u00f3digo malicioso entre los millones de sus usuarios, advirtieron los expertos.<\/p>\n<p>Un informe de AquaSec prob\u00f3 la plataforma y concluy\u00f3 que abusar de ella para distribuir malware<span class=\"sr-only\"> (se abre en una pesta\u00f1a nueva)<\/span> era rid\u00edculamente f\u00e1cil. <\/p>\n<aside class=\"hawk-nest\" data-render-type=\"fte\" data-skip=\"dealsy\" data-widget-type=\"seasonal\"\/>\n<p>Adem\u00e1s, los investigadores afirman que no fueron los primeros en detectar las fallas: algunos actores de amenazas ya estaban activos. <\/p>\n<h2 id=\"spoofing-important-details\">Spoofing detalles importantes<\/h2>\n<p>en una entrada de blog<span class=\"sr-only\"> (se abre en una pesta\u00f1a nueva)<\/span>el equipo de AquaSec describi\u00f3 c\u00f3mo intent\u00f3 cargar una versi\u00f3n maliciosa con errores tipogr\u00e1ficos de una extensi\u00f3n popular con 27 millones de descargas. <\/p>\n<p>Se dio cuenta de que el malware ni siquiera necesitaba un error tipogr\u00e1fico: la plataforma tiene una caracter\u00edstica llamada &#8216;displayName&#8217; que permite a los autores nombrar sus extensiones como quieran, el nombre no necesita ser \u00fanico.  Entonces, lo nombraron exactamente igual que el leg\u00edtimo.<\/p>\n<p>Luego, se dieron cuenta de que tambi\u00e9n pod\u00edan usar el mismo logotipo y descripci\u00f3n que el proyecto leg\u00edtimo.<\/p>\n<p>Adem\u00e1s, los detalles, aunque se extraen de GitHub, se pueden editar m\u00e1s adelante.  Eso significa que los atacantes pueden falsificar f\u00e1cilmente los detalles del proyecto y presentar el malware como una herramienta leg\u00edtima con un largo historial de desarrollo.  Lo \u00fanico que no pod\u00eda falsificarse era el n\u00famero de descargas y el ranking de b\u00fasqueda. <\/p>\n<p>\u00abSin embargo, con el tiempo, un grupo cada vez mayor de usuarios sin saberlo habr\u00e1n descargado nuestra extensi\u00f3n falsa. A medida que aumenten estas cifras, la extensi\u00f3n ganar\u00e1 credibilidad\u00bb, dijo AquaSec.  \u00abAdem\u00e1s, dado que en la web oscura es posible comprar varios servicios, un atacante extremadamente determinado podr\u00eda potencialmente manipular estos n\u00fameros comprando servicios que inflar\u00edan la cantidad de descargas y estrellas\u00bb.<\/p>\n<p>AquaSec tambi\u00e9n observ\u00f3 la insignia de verificaci\u00f3n en VSCode Marketplace y concluy\u00f3 que la funci\u00f3n no tiene sentido, ya que cualquier publicaci\u00f3n con un dominio comprado obtiene una, independientemente de la relevancia del dominio para el proyecto de software.<\/p>\n<p>Si bien los investigadores solo hicieron una prueba de concepto, tambi\u00e9n encontraron un c\u00f3digo malicioso real al acecho en la tienda.  Estos se denominan \u00abComplemento generador de API\u00bb y \u00abprobador de c\u00f3digo\u00bb.<\/p>\n<p>Visual Studio Code es el editor de c\u00f3digo fuente de Microsoft, utilizado por alrededor del 70% de los desarrolladores de software profesionales en todo el mundo, seg\u00fan <em>BleepingEquipo<\/em>.  Las extensiones se pueden usar para instalar programas adicionales, robar c\u00f3digo fuente o manipularlo de otras maneras en el IDE de VSCode.<\/p>\n<p>V\u00eda: BleepingComputer<span class=\"sr-only\"> (se abre en una pesta\u00f1a nueva)<\/span><\/p>\n<\/div>\n<p><br \/>\n<br \/><a href=\"https:\/\/magazineoffice.com\/\">Source link-35<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>VSCode Marketplace, un repositorio para las extensiones de Visual Studio Code (VSC), tiene defensas de seguridad deficientes, lo que permite a los actores de amenazas abusar de \u00e9l y distribuir&hellip;<\/p>\n","protected":false},"author":1,"featured_media":394317,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[21980],"tags":[4185,133,6160,1001,25858,25480,26770,71946],"_links":{"self":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/394316"}],"collection":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/comments?post=394316"}],"version-history":[{"count":1,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/394316\/revisions"}],"predecessor-version":[{"id":394318,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/394316\/revisions\/394318"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/media\/394317"}],"wp:attachment":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/media?parent=394316"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/categories?post=394316"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/tags?post=394316"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}