VS Code ETHcode 扩展遭供应链攻击：两行恶意代码通过 GitHub PR 植入
内容提要
ReversingLabs发现，Visual Studio Code的ETHcode扩展遭到供应链攻击，攻击者通过GitHub拉取请求植入两行恶意代码，可能影响近6000个开发系统。受感染版本已于6月26日下架，开发者随后发布了修复版本。
关键要点
-
ReversingLabs发现Visual Studio Code的ETHcode扩展遭到供应链攻击。
-
攻击者通过GitHub拉取请求植入两行恶意代码，可能影响近6000个开发系统。
-
恶意代码伪装成合法更新，攻击者使用名为Airez299的临时账户提交拉取请求。
-
第一行代码引入了一个名为keythereum-utils的新依赖项，第二行代码激活了恶意软件包。
-
VS Code的自动更新机制使得恶意软件能够悄无声息地传播。
-
受感染版本已于6月26日下架，开发者在7月1日发布了修复版本。
延伸解读
供应链攻击的隐患
此次ETHcode扩展的供应链攻击揭示了开源软件的脆弱性。攻击者通过伪装成合法更新的方式，利用开发者对GitHub的信任，轻易植入恶意代码。这提醒开发者在使用开源组件时，需加强对依赖项的审查，避免潜在的安全风险。
自动更新机制的风险
VS Code的自动更新机制在此次事件中起到了放大恶意软件传播的作用。开发者应意识到，自动更新虽然方便，但也可能导致未经过审查的代码被迅速传播。因此，建议定期检查已安装扩展的更新记录，确保没有引入可疑的依赖项。
临时账户的警示
攻击者使用的临时账户Airez299没有历史活动记录，显示出其专门用于此次攻击的目的。这一现象提醒开发者在审查拉取请求时，需关注提交者的账户背景，避免轻易信任新创建的账户，尤其是在涉及关键代码的修改时。
延伸问答
ETHcode扩展是如何遭到供应链攻击的？
攻击者通过GitHub拉取请求植入了两行恶意代码，伪装成合法更新。
这次攻击可能影响多少个开发系统？
可能影响近6000个开发系统。
攻击者是如何隐藏恶意代码的？
攻击者使用了一个名为keythereum-utils的新依赖项，并通过Node.js的require()函数激活恶意软件包。
受感染的ETHcode版本何时被下架？
受感染版本已于6月26日下架。
开发者在何时发布了修复版本？
开发者在7月1日发布了修复版本0.5.1。
VS Code的自动更新机制如何加大了攻击风险？
VS Code默认会自动更新扩展，导致受感染版本可能悄无声息地传播恶意软件。
