Tiện ích VS Code giả mạo Solidity Pro đánh cắp ví crypto và thông tin xác thực
"Security researchers identified malicious VS Code extensions published as Solidity Pro that steal browser wallet data, API keys, SSH keys, credentials, and crypto wallet vaults. Early versions used Cloudflare Workers to fetch and run an encrypted Python payload, while later versions evolved into an information stealer that exfiltrates data via Telegram; the article also notes related rogue extensions and npm packages, with remediation focused on removal, dependency review, and blocking known C2 activity."
Đánh cắp trực tiếp ví crypto, API keys và SSH keys; có thể dẫn đến mất tài sản số và xâm nhập hệ thống. Cơ chế trì hoãn kích hoạt và obfuscation làm tăng nguy cơ lọt qua kiểm tra.
Rủi ro gián đoạn phát triển và rò rỉ bí mật truy cập từ môi trường lập trình. Có thể phát sinh sự cố chuỗi cung ứng phần mềm, chi phí ứng phó và kiểm tra lại toàn bộ tiện ích/phụ thuộc.
Các nhà nghiên cứu an ninh đã phát hiện một tiện ích Microsoft Visual Studio Code độc hại mang tên Solidity Pro (solidity-pro), được phát hành dưới các tên helper-beeps.solidity-pro và web3devtoolsx.solidity-pro. Mục tiêu của mã độc là thu thập dữ liệu ví trình duyệt, API keys, SSH keys, token nguồn mã và nhiều loại credentials khác, sau đó gửi ra ngoài qua Telegram bot.
Theo phân tích, các phiên bản đầu từ 1.0.0 đến v2.4.x liên hệ tới Cloudflare Workers để tải về và thực thi một payload Python mã hóa. Từ v3.0.0, tiện ích chuyển sang vai trò information stealer hoàn chỉnh, có thể lấy GitHub, GitLab, AWS, Cloudflare, OpenAI và Telegram bot tokens, cùng với mnemonic/seed phrases và các ví như MetaMask, Phantom, Rabby, Coinbase, Trust và Keplr.
Nhóm tấn công còn dùng obfuscation, bản phát hành “sạch” xen kẽ và trì hoãn kích hoạt để né kiểm tra tự động. Khuyến nghị: gỡ bỏ ngay các tiện ích liên quan, rà soát dependency graph, chặn C2 domains đã biết và giám sát các lệnh cscript, mshta, cmd, curl và powershell.