La reciente detección de extensiones maliciosas para Visual Studio Code vuelve a evidenciar que ni siquiera los marketplaces oficiales garantizan por completo la seguridad. Investigadores de Koi Security identificaron dos extensiones, Bitcoin Black y Codo AI, capaces de infectar silenciosamente los equipos de desarrolladores con un potente infostealer diseñado para robar contraseñas, cookies de sesión, monederos de criptomonedas e información detallada del sistema.
Bitcoin Black y Codo AI: extensiones maliciosas en el marketplace de Visual Studio Code
Ambos complementos se distribuían en el Marketplace de VS Code bajo el alias de desarrollador “BigBlack”. Bitcoin Black se presentaba como un tema visual para el editor, mientras que Codo AI se promocionaba como un asistente de inteligencia artificial para escribir código, compatible con modelos como ChatGPT y DeepSeek.
Según Koi Security, Codo AI seguía disponible en el momento del informe, con menos de 30 instalaciones, mientras que Bitcoin Black registraba una única instalación. Aunque el volumen de descargas era bajo, el riesgo es significativo: el acceso a solo una estación de trabajo de desarrollo puede convertirse en un punto de entrada a repositorios, pipelines CI/CD y a la infraestructura corporativa, encajando de lleno en el patrón de las supply chain attacks.
Técnica de ataque: activación en VS Code y ejecución sigilosa de código
Evento de activación “*” y uso de PowerShell
Bitcoin Black abusaba del evento de activación "*" de VS Code, que puede dispararse prácticamente ante cualquier acción del usuario en el editor. Esto permitía que la extensión se ejecutara con alta frecuencia y de forma discreta. Además, el complemento incluía lógica para ejecutar código PowerShell, abriendo la puerta a la descarga y ejecución de cargas adicionales en el sistema comprometido.
En las primeras versiones, los atacantes utilizaban un script de PowerShell para descargar un archivo cifrado con la carga maliciosa. Sin embargo, este enfoque mostraba una ventana visible de PowerShell, lo que podía despertar sospechas. Posteriormente, el flujo se refinó para reducir al máximo los indicios visibles para el usuario.
Bat script, uso de curl y descarga encubierta de DLL y EXE
En iteraciones posteriores, Bitcoin Black pasó a delegar la lógica de descarga en un script por lotes (bat.sh), que invocaba la herramienta curl para obtener una biblioteca DLL y un ejecutable .exe. Todo el proceso se realizaba en segundo plano, sin ventanas emergentes, lo que dificultaba la detección manual del comportamiento anómalo.
Codo AI: funcionalidad legítima combinada con comportamiento malicioso
En el caso de Codo AI, la extensión implementaba realmente las funciones prometidas de asistencia a la programación mediante modelos de IA, lo que incrementaba su credibilidad. Paralelamente, integraba la misma cadena de infección observada en Bitcoin Black, aprovechando la confianza del usuario en una herramienta que aparentaba aportar valor real a su flujo de trabajo.
Este patrón —combinar funcionalidad útil con código malicioso— se ha consolidado como una táctica recurrente en abusos de marketplaces: el usuario percibe beneficios inmediatos y reduce su nivel de sospecha, mientras el malware opera en segundo plano.
DLL hijacking con Lightshot y despliegue del infostealer
Ambas extensiones empaquetaban el ejecutable legítimo de la popular herramienta de captura de pantalla Lightshot junto con una DLL maliciosa. El ataque se basaba en la técnica de DLL hijacking: al ejecutar Lightshot, el programa cargaba una DLL cuyo nombre coincidía con una dependencia esperada, pero que en realidad era el componente malicioso.
Al ser cargada, la DLL iniciaba el despliegue del infostealer, que se instalaba en el sistema bajo el nombre runtime.exe. De acuerdo con el análisis, esta DLL solo era detectada por 29 de 72 motores antivirus en VirusTotal, lo que sugiere un código relativamente reciente u ofuscado de forma eficaz, capaz de evadir muchas soluciones basadas solo en firmas.
Capacidades del infostealer: credenciales, cookies y criptomonedas
Tras la infección, el malware creaba el directorio %APPDATA%\Local\Evelyn, utilizado para almacenar los datos exfiltrados. Entre la información recopilada se incluían:
— detalles de procesos en ejecución;
— contenido del portapapeles;
— credenciales de redes Wi‑Fi;
— información del sistema operativo y hardware;
— capturas de pantalla;
— listado de programas instalados y procesos activos.
Para secuestrar sesiones web, el infostealer ejecutaba Chrome y Edge en modo headless (sin interfaz gráfica) y extraía las cookies de los perfiles del navegador. Con estas cookies, un atacante puede reutilizar sesiones autenticadas y acceder a cuentas sin necesidad de contraseña ni códigos 2FA, siempre que la sesión del usuario siga activa.
El malware también estaba orientado al robo de criptomonedas. Escaneaba el sistema en busca de monederos como Phantom, Metamask, Exodus y otros, intentando recuperar claves, contraseñas y frases semilla almacenadas en archivos locales o datos guardados automáticamente por el navegador.
Respuesta de Microsoft y recomendaciones de ciberseguridad para desarrolladores
Microsoft confirmó que Bitcoin Black y Codo AI fueron retiradas del marketplace de Visual Studio Code. No obstante, su presencia previa en un repositorio oficial refuerza la tendencia observada en informes de organismos como ENISA: los ataques a la cadena de suministro de software están en crecimiento y los entornos de desarrollo son un objetivo prioritario.
Para reducir la superficie de ataque en equipos de desarrollo, se recomienda:
— instalar extensiones de VS Code solo de editores verificados y con buena reputación;
— auditar periódicamente las extensiones instaladas y eliminar las que no se utilicen;
— monitorizar ejecuciones inesperadas de PowerShell, cmd, curl y binarios externos desde el entorno del desarrollador;
— desplegar soluciones EDR/XDR con análisis de comportamiento, en lugar de depender únicamente de antivirus tradicionales;
— almacenar frases semilla y claves de criptomonedas fuera de las estaciones de trabajo, idealmente en hardware wallets o sistemas aislados.
El caso de Bitcoin Black y Codo AI ilustra con claridad que los desarrolladores son uno de los objetivos más valiosos y vulnerables para los ciberdelincuentes. A medida que crece la dependencia de extensiones, asistentes de IA y herramientas de productividad, se vuelve imprescindible reforzar la higiene digital, revisar con criterio qué se instala en los entornos de desarrollo y adoptar una defensa en profundidad. Mantenerse informado, aplicar controles técnicos avanzados y fomentar la cultura de ciberseguridad en los equipos será clave para mitigar el impacto de futuros ataques de este tipo.
