Publié le 9 décembre 2025. Des chercheurs en cybersécurité ont mis en garde contre deux extensions malveillantes pour Microsoft Visual Studio Code, capables de voler des données sensibles des développeurs, notamment des mots de passe et des informations de navigation.
- Deux extensions VS Code, se faisant passer pour des outils légitimes, ont été identifiées comme des logiciels malveillants.
- Ces extensions peuvent capturer des captures d’écran, siphonner des données et voler des identifiants Wi-Fi.
- D’autres paquets malveillants ont été découverts dans les écosystèmes Go, npm et Rust, ciblant également les données sensibles des développeurs.
Des extensions pour l’éditeur de code populaire Microsoft Visual Studio Code (VS Code) ont été compromises, selon des découvertes récentes. Les chercheurs de Koi Security ont identifié deux extensions malveillantes qui se présentent comme des outils utiles, mais qui dissimulent en réalité des fonctionnalités malveillantes destinées à voler des informations aux développeurs.
L’une de ces extensions se présente comme un thème sombre premium, tandis que l’autre se décrit comme un assistant de codage basé sur l’intelligence artificielle (IA). En réalité, ces extensions téléchargent discrètement des logiciels malveillants supplémentaires, prennent des captures d’écran de l’écran de l’utilisateur et volent des données sensibles. Ces informations sont ensuite envoyées à un serveur contrôlé par les attaquants.
« Votre code. Vos e-mails. Vos messages Slack. Tout ce qui s’affiche sur votre écran est également visible par eux », explique Idan Dardikman de Koi Security.
Idan Dardikman, Koi Security
Dardikman souligne que ce n’est qu’un début, car les extensions malveillantes sont également capables de voler des mots de passe Wi-Fi, de lire le contenu du presse-papiers et de détourner les sessions de navigation.
Microsoft a déjà supprimé les extensions compromises du Marketplace :
- BigBlack.bitcoin-black (16 installations) – Supprimée le 5 décembre 2025
- BigBlack.codo-ai (25 installations) – Supprimée le 8 décembre 2025
La liste des extensions supprimées par Microsoft est disponible ici. La société a également retiré un troisième paquet, « BigBlack.mrbigblacktheme », du même éditeur en raison de la présence de logiciels malveillants.
Selon les chercheurs, « BigBlack.bitcoin-black » s’active à chaque action effectuée dans VS Code, tandis que « Codo AI » intègre sa fonctionnalité malveillante dans un outil de travail, ce qui lui permet d’échapper plus facilement à la détection.
Les versions antérieures de ces extensions utilisaient un script PowerShell pour télécharger une archive ZIP protégée par mot de passe depuis un serveur externe (“syn11122233334445556667778889990[.]org”). L’archive était ensuite décompressée en utilisant différentes méthodes, notamment Expand-Archive de Windows, .NET System.IO.Compression, DotNetZip et 7-Zip (si installé).
Cependant, les attaquants ont involontairement livré une version qui affichait une fenêtre PowerShell visible, ce qui aurait pu alerter les utilisateurs. Les versions ultérieures ont corrigé ce problème en masquant la fenêtre et en utilisant un script batch pour télécharger l’exécutable et la DLL via la commande curl.
L’exécutable est un binaire légitime de Lightshot, utilisé pour charger une DLL malveillante (“Lightshot.dll”) via un piratage de DLL. Cette DLL collecte ensuite le contenu du presse-papiers, la liste des applications installées, les processus en cours d’exécution, des captures d’écran du bureau, les informations d’identification Wi-Fi stockées et des informations détaillées sur le système. Elle lance également Google Chrome et Microsoft Edge en mode sans tête pour récupérer les cookies stockés et détourner les sessions utilisateur.
Cette découverte intervient alors que Socket a identifié d’autres paquets malveillants dans les écosystèmes Go, npm et Rust, capables de collecter des données sensibles :
- Des paquets Go nommés “github[.]com/bpoorman/uuid” et “github[.]com/bpoorman/uid”, disponibles depuis 2021, imitent les bibliothèques UUID de confiance (“github[.]com/google/uuid” et “github[.]com/pborman/uuid”) pour exfiltrer des données vers un site de collage appelé dpaste lorsqu’une application invoque une fonction d’assistance nommée “valide”.
- Un ensemble de 420 paquets npm uniques publiés par un acteur malveillant francophone, suivant un modèle de dénomination cohérent incluant « elf-stats-* », contiennent du code pour exécuter un shell inversé et exfiltrer des fichiers vers un point de terminaison Pipedream.
- Une caisse Rust nommée finch-rust, publiée par un auteur anonyme, se fait passer pour l’outil bioinformatique légitime “finch” et sert de chargeur pour une charge utile malveillante via un package de vol d’informations d’identification connu sous le nom de “sha-rust” lorsqu’un développeur utilise la fonctionnalité de sérialisation de croquis de la bibliothèque.
« Finch-rust agit comme un chargeur de malware ; il contient principalement du code légitime copié du package finch légitime, mais comprend une seule ligne malveillante qui charge et exécute la charge utile sha-rust. »
Kush Pandya, chercheur chez Socket
Cette séparation des préoccupations rend la détection plus difficile : finch-rust semble inoffensif isolément, tandis que sha-rust contient le véritable malware.
