威胁行为者正将 Visual Studio Code 变为攻击平台，借助其完善的扩展生态系统，向开发者工作站植入多阶段恶意软件。
此次最新攻击活动被命名为伊夫林窃取程序，该恶意程序隐匿于一款恶意扩展中，通过数个精心设计的攻击阶段，向目标端投放一款具备隐秘性的信息窃取工具。
攻击者的目标并非普通终端用户，而是开发者群体—— 这类人群往往掌握着源代码、云控制台及加密货币资产的核心访问权限。
攻击从受害者安装一款伪装成实用或无害的植毒 Visual Studio Code 扩展开始，该扩展会在后台释放伪造的 Lightshot.dll 组件，随后这一组件会被正版截图工具 Lightshot.exe 加载运行。
此后恶意软件攻击链逐步展开，不仅会远程获取新的攻击载荷、执行隐藏的 PowerShell 命令，还会为最终实现大规模数据窃取的伊夫林窃取程序可执行文件搭建运行环境。
趋势科技分析师指出，攻击者将用户对Visual Studio Code 应用市场的信任当作可利用的武器，以恶意扩展为载体构建完整攻击链，实现从初始加载器启动到最终数据窃取的全流程攻击。
攻击者通过滥用 Lightshot 这类开发者常用工具，并采用仿签名的导出方式，让攻击第一阶段融入开发者的正常操作流程，同时在后台悄然为后续的入侵环节做准备。
伊夫林窃取程序完全执行后，会从受感染设备中窃取浏览器密码、Cookie、加密货币钱包、即时通讯会话记录、VPN 配置文件、Wi-Fi 密钥及各类敏感文件。
同时该程序还会捕获设备截图和详细的系统信息，将所有数据压缩为单个压缩包后，上传至攻击者控制的 FTP 服务器。
对企业而言，仅一台开发者笔记本电脑被感染，就可能导致源代码、云访问令牌及生产环境凭证泄露，让一次工具链的使用疏漏，演变为波及范围广泛的安全入侵事件。
多阶段感染链的技术细节
攻击的第一阶段隐藏在恶意 Visual Studio Code 扩展内，伪装为 Lightshot.dll 文件，每当用户进行截图操作时，该文件就会被 Lightshot.exe 调用执行。
该下载器被触发后，会执行一条隐藏的 PowerShell 命令，从远程域名拉取名为 iknowyou.model 的第二阶段攻击文件，将其另存为 runtime.exe 并运行。
伊夫林窃取程序的攻击载荷会在设备中创建AppData\Evelyn 文件夹，向 Edge 和 Chrome 浏览器注入 abe_decrypt.dll 文件，最终将窃取的数据打包为 ZIP 压缩包，通过 FTP 协议完成上传。
发表评论
您还未登录，请先登录。
登录