内蔵ランサムウェア機能を持つ悪意あるVS Code拡張機能「susvsex」が発見される

サイバーセキュリティ研究者は、基本的なランサムウェア機能を備えた悪意あるVisual Studio Code（VS Code）拡張機能「susvsex」を発見しました。この拡張機能は、人工知能の支援を受けて作成されたと考えられており、しばしば「バイブコード」マルウェアと呼ばれています。Secure Annexの研究者ジョン・タックナーによって検出されました。興味深いことに、この拡張機能は悪意を隠そうとはしていません。2025年11月5日に「suspublisher18」というユーザーによってアップロードされ、説明は「ただのテスト」と非常に簡素で、明らかに偽のメールアドレス「donotsupport@example.com」が使われていました。この拡張機能の機能は、初回起動時にあらかじめ定義されたディレクトリ（WindowsのC:\Users\Public\testingまたはmacOSの/tmp/testing）からファイルを自動的に圧縮、アップロード、暗号化することです。\n\nマイクロソフトは迅速に対応し、11月6日までに公式のVS Codeマーケットプレイスからこの拡張機能を削除しました。拡張機能の主要な悪意あるルーチン「zipUploadAndEncrypt」は、インストールやVS Codeの起動などのトリガーイベントで自動的に起動します。この関数は対象フォルダをZIPアーカイブに圧縮し、リモートサーバーに送信し、その後そのディレクトリ内のファイルを暗号化して復号キーなしではアクセスできなくします。幸いにも、対象ディレクトリはデフォルトでテスト用のステージングフォルダに設定されており、現在の被害は限定的ですが、将来のアップデートや秘密のコマンド＆コントロール（C2）チャネル経由のコマンドで簡単に変更可能です。\n\nC2について言えば、このマルウェアは巧妙にGitHubリポジトリをコマンドセンターとして使用しています。プライベートGitHubリポジトリの「index.html」ファイルを定期的にポーリングして新しいコマンドを読み取り、実行結果を「requirements.txt」ファイルに書き戻します。これには拡張機能に埋め込まれたハードコードされたGitHubアクセストークンが使われています。関連するGitHubアカウント「aykhanmv」は現在もアクティブで、開発者はアゼルバイジャンのバクー在住と主張しています。詳細なコメントや実行手順を記したREADMEファイル、コード内に残されたプレースホルダ変数はAI支援による作成、すなわち「バイブコーディング」を強く示唆しています。誤って拡張機能のパッケージに復号ツール、サーバーコード、GitHubトークンなどの重要なコンポーネントが含まれており、他者がC2インフラを乗っ取る可能性もあります。\n\n関連して、Datadog Security Labsは17の悪意あるnpmパッケージを特定しました。これらは正規のソフトウェア開発キット（SDK）を装い、2025年10月21日から26日の間に「aartje」と「saliii229911」というアカウントによってアップロードされました。これらのパッケージは感染したシステムにVidar情報窃取マルウェアを密かにインストールします。Vidarがnpmレジストリを通じて配布されたのは今回が初めてです。アカウントはすぐに禁止されましたが、パッケージはすでに2,200回以上ダウンロードされており、多くは自動スクレイパーによるものと推測されます。\n\nこれらnpmパッケージの攻撃メカニズムは、「package.json」ファイルに定義されたpostinstallスクリプトに依存しています。これらのスクリプトは外部サーバーからZIPアーカイブをダウンロードし、その中のVidarマルウェアを実行します。バリアントによっては、JavaScriptを実行する前にPowerShellスクリプトを実行するものもあります。Datadogが分析したVidarサンプルは、TelegramとSteamのハードコードされたアカウントをデッドドロップポイントとして使用し、実際のコマンドサーバーを特定しています。研究者は、postinstallの実装の違いが行動シグネチャの検出回避に役立っていると推測しています。\n\nこれらの事件は、npm、PyPI、RubyGems、Open VSXなどのオープンソースエコシステムを狙ったサプライチェーン攻撃の増加に拍車をかけています。開発者は注意を払い、変更履歴を慎重に確認し、タイポスクワッティングや依存関係の混乱などの一般的な攻撃ベクトルを認識することが重要です。AI支援のマルウェア開発の増加と高度化するサプライチェーン攻撃は、ソフトウェア開発コミュニティ全体でのセキュリティ強化の緊急性を示しています。