Der offizielle Visual Studio Code Marketplace gilt für viele Teams als vertrauenswürdige Bezugsquelle für Erweiterungen. Der aktuelle Fall der bösartigen Extensions Bitcoin Black und Codo AI, entdeckt von Koi Security, zeigt jedoch, dass selbst offizielle Plattformen keine vollständige Sicherheit vor VS-Code-Malware bieten.
Wie bösartige VS-Code-Erweiterungen in den offiziellen Marketplace gelangten
Beide Erweiterungen wurden unter dem Publisher-Namen BigBlack veröffentlicht: Bitcoin Black tarnte sich als schlichte Design-Theme, Codo AI als KI-Assistent für die Codegenerierung mit Anbindung an Modelle wie ChatGPT und DeepSeek. Laut Analyse hatten Codo AI unter 30 Installationen und Bitcoin Black nur eine Installation, bevor Microsoft sie entfernte.
Die geringe Verbreitung ändert nichts an der Tragweite. Bereits ein einzelner kompromittierter Entwicklerrechner kann ein Einfallstor in Code-Repositories, CI/CD-Pipelines und Unternehmensnetzwerke sein. Branchenberichte wie der Verizon Data Breach Investigations Report und der Microsoft Digital Defense Report weisen seit Jahren auf den wachsenden Anteil von Supply-Chain-Angriffen auf Entwicklerumgebungen hin.
Technische Analyse der VS-Code-Malware und der Angriffskette
Missbrauch des VS-Code-Aktivierungsereignisses „*“ und PowerShell
Die Extension Bitcoin Black nutzte das VS-Code-Aktivierungsereignis „*“. Dieses wird bei nahezu jeder Nutzeraktion im Editor ausgelöst und ermöglichte es der Malware, ihren Code sehr häufig und unauffällig auszuführen. Über integrierten PowerShell-Code konnte anschließend zusätzliche Schadsoftware nachgeladen und ausgeführt werden.
In frühen Varianten luden PowerShell-Skripte einen verschlüsselten Archiv-Container mit der eigentlichen Payload nach. Dabei öffnete sich jedoch ein sichtbares PowerShell-Fenster – ein potenzieller Hinweis für aufmerksame Nutzer. Die Angreifer passten die Technik daher an, um die Aktivität stärker zu verschleiern.
Umstieg auf BAT-Skript, Curl und verdeckte Downloads
In neueren Versionen verlagerte sich die Logik in ein BAT-Skript (bat.sh), das curl zum Download einer DLL und einer .exe-Datei nutzte. Der gesamte Prozess lief im Hintergrund, ohne sichtbare Konsolenfenster. Damit wurde die Erkennung durch reine Nutzerbeobachtung deutlich erschwert und die Angriffskette stärker auf Stealth optimiert.
Codo AI: Nützliche KI-Funktionen kombiniert mit verstecktem Schadcode
Codo AI erfüllte seinen offensichtlichen Zweck: Es unterstützte Entwickler bei der Codeerstellung über bekannte KI-Modelle. Parallel dazu enthielt es jedoch denselben bösartigen Komponentenstamm wie Bitcoin Black und leitete die identische Infektionskette ein. Solche „Dual-Use-Erweiterungen“ sind ein etabliertes Muster: Nützliche Funktionen erhöhen das Vertrauen der Nutzer, während der Schadcode im Hintergrund aktiv bleibt.
DLL-Hijacking mit Lightshot und Installation eines Infostealers
Beide VS-Code-Erweiterungen brachten eine legitime Kopie des Screenshot-Tools Lightshot sowie eine manipulierte DLL mit. Die Angreifer setzten auf DLL Hijacking: Statt der erwarteten Bibliothek lud Lightshot beim Start die bösartige DLL, weil sie im Suchpfad des Programms bevorzugt gefunden wurde. Diese DLL installierte dann den Infostealer unter dem Namen runtime.exe.
Laut Auswertung auf VirusTotal wurde die schädliche DLL lediglich von 29 von 72 AV-Engines erkannt. Das deutet auf eine relativ frische oder gut verschleierte Malware-Variante hin und zeigt die Grenzen rein signaturbasierter Antivirus-Lösungen bei gezielten Entwicklerangriffen.
Fähigkeiten des Infostealers: Zugangsdaten, Sitzungen und Kryptowerte
Nach erfolgreicher Infektion legte die Malware das Verzeichnis %APPDATA%\Local\Evelyn an und speicherte dort umfangreiche System- und Nutzerdaten. Dazu gehörten unter anderem Informationen zu laufenden Prozessen, Zwischenablage-Inhalten, Wi‑Fi-Zugangsdaten, Systemprofilen, installierten Programmen sowie Bildschirmfotos.
Besonders kritisch ist der Umgang mit Browserdaten. Der Stealer startete Chrome und Edge im Headless-Modus, um im Hintergrund Cookies und gespeicherte Sitzungsdaten auszulesen. Damit lassen sich aktive Logins übernehmen, häufig sogar ohne Passwort- oder 2FA-Eingabe, wenn diese bereits in der Nutzer-Session validiert waren. Zusätzlich suchte der Stealer gezielt nach Kryptowallets wie Phantom, Metamask und Exodus, um Seeds, Private Keys und Passwörter abzugreifen.
Auswirkungen auf Supply-Chain-Sicherheit und Entwicklerteams
Ein kompromittierter Entwicklerrechner bietet Angreifern weitreichende Möglichkeiten: Zugriff auf Quellcode-Repositories, Manipulation von Build-Skripten, Diebstahl von API-Keys und Cloud-Zugangsdaten bis hin zur Hintertür in signierte Releases. Bekannte Vorfälle wie der NPM-event-stream-Hack oder der Angriff auf Codecov verdeutlichen, wie effektiv Supply-Chain-Angriffe über Entwicklerwerkzeuge sein können.
Reaktion von Microsoft und empfohlene Schutzmaßnahmen für VS Code
Microsoft hat die bösartigen Erweiterungen aus dem Visual Studio Code Marketplace entfernt. Der Vorfall macht jedoch deutlich, dass Marktplatzprüfungen allein kein ausreichender Schutz sind. Unternehmen sollten zusätzliche technische und organisatorische Kontrollen etablieren, insbesondere in Entwicklerumgebungen.
Empfehlenswerte Maßnahmen umfassen unter anderem:
- Strenge Policy für VS-Code-Erweiterungen: Nur Installationen aus einer kuratierten Positivliste bekannter und geprüfter Publisher zulassen.
- Regelmäßiger Plugin-Audit: Installierte Extensions inventarisieren, ungenutzte entfernen und neue Extensions vorab prüfen.
- Überwachung von Entwicklerendpunkten: Ungewöhnliche Aufrufe von
PowerShell,cmd,curloder unbekannten .exe-Dateien gezielt monitoren. - EDR/XDR statt reiner Antivirus-Lösungen: Lösungen mit Verhaltensanalyse einsetzen, um DLL-Hijacking, Headless-Browsing und Datendiebstahl zu erkennen.
- Sichere Aufbewahrung von Secrets: Seed-Phrasen und Schlüssel für Kryptowallets sowie CI/CD-Credentials nicht auf Entwicklerrechnern speichern, sondern z.B. in Hardware-Wallets oder Secret-Management-Systemen.
Der Fall Bitcoin Black und Codo AI zeigt, dass Entwickler zu den attraktivsten Zielen für Cyberkriminelle gehören und dass selbst vertraute Tools wie der VS-Code-Marketplace kritisch hinterfragt werden müssen. Teams sollten ihre Erweiterungen regelmäßig überprüfen, Verteidigungsmechanismen wie EDR und strenge Extension-Policies einführen und Entwickler gezielt zu Supply-Chain-Risiken schulen. Wer seine Entwicklungsumgebung heute proaktiv härtet, reduziert nicht nur das Risiko einzelner Malware-Infektionen, sondern schützt zugleich die gesamte Software-Lieferkette.
