VS-Code-Forks setzen Entwickler schädlichen empfohlenen Erweiterungen aus

Abgespaltene Versionen der Visual-Studio-Code-IDE setzen Entwickler einem wachsenden Risiko in der Software-Lieferkette aus, das mit empfohlenen Erweiterungen verbunden ist. Sicherheitsforscher warnen, dass einige Forks Erweiterungen vorschlagen, die in vertrauenswürdigen Registries nicht existieren. Dadurch können Angreifer bösartige Pakete unter diesen Namen veröffentlichen und Nutzer dazu verleiten, sie zu installieren.

Das Problem betrifft sowohl klassische VS-Code-Forks als auch neuere KI-gestützte Entwicklungswerkzeuge, die die Empfehlungslogik von VS Code wiederverwenden, ohne dieselben Validierungsmechanismen durchzusetzen.

Wie der Angriffsvektor funktioniert

VS Code unterstützt Erweiterungsempfehlungen über Konfigurationsdateien, die nützliche Add-ons für ein Projekt oder eine Umgebung vorschlagen. Entwickler vertrauen diesen Hinweisen in der Regel, da der offizielle VS-Code-Marketplace Eigentums- und Namespace-Schutzmechanismen durchsetzt.

Viele VS-Code-Forks greifen jedoch auf alternative Erweiterungs-Registries zurück. Wenn diese Forks Empfehlungslisten wiederverwenden, die ursprünglich für den Microsoft-Marketplace konzipiert wurden, überprüfen sie häufig nicht, ob die referenzierten Erweiterungen in der verwendeten Registry tatsächlich existieren.

Angreifer können diese Lücke ausnutzen, indem sie Erweiterungen unter den empfohlenen Namen registrieren und bösartigen Code einbetten. Sobald ein Entwickler die Erweiterung installiert, kann sie mit den von der IDE gewährten Berechtigungen ausgeführt werden.

Warum Forks von IDEs das Risiko erhöhen

Abgespaltene IDEs übernehmen einen Großteil der Funktionalität von VS Code, replizieren jedoch nicht immer dessen Sicherheitsgarantien. Während die Originalplattform die Veröffentlichung von Erweiterungen streng kontrolliert, fehlt es alternativen Registries häufig an Namespace-Reservierung und Herausgeberverifizierung.

Infolgedessen kann eine Empfehlung, die innerhalb der IDE legitim wirkt, auf eine Erweiterung verweisen, die vollständig von einem Angreifer erstellt wurde. Entwickler installieren sie möglicherweise ohne Misstrauen, insbesondere wenn die IDE sie als vertrauenswürdigen Vorschlag präsentiert.

KI-fokussierte IDEs verstärken dieses Risiko zusätzlich, da sie Erweiterungen aggressiv bewerben, um Arbeitsabläufe zu optimieren. Dadurch steigt die Wahrscheinlichkeit unbeabsichtigter Installationen.

Was eine bösartige Erweiterung bewirken kann

Nach der Installation kann eine bösartige Erweiterung auf den Arbeitsbereich des Entwicklers zugreifen, Quellcode lesen oder verändern, Anmeldeinformationen abfangen oder Hintertüren in Projekte einschleusen. In gemeinsam genutzten Umgebungen können Angreifer diesen Zugriff nutzen, um Repositories, Build-Pipelines oder nachgelagerte Nutzer zu kompromittieren.

Da Erweiterungen häufig unauffällig im Hintergrund laufen, bemerken Entwickler bösartige Aktivitäten möglicherweise erst, wenn bereits erheblicher Schaden entstanden ist.

Wie Entwickler die Exponierung reduzieren können

Entwickler können das Risiko reduzieren, indem sie automatische Erweiterungsempfehlungen deaktivieren und Erweiterungen nur nach manueller Prüfung installieren. Die Überprüfung des Herausgebers, die Kontrolle angeforderter Berechtigungen sowie die Beschränkung der Nutzung auf bekannte Projekte tragen ebenfalls zur Verringerung der Angriffsfläche bei.

Organisationen sollten IDE-Erweiterungen als Teil der Software-Lieferkette betrachten und dieselbe Sorgfalt anwenden wie bei Drittanbieter-Abhängigkeiten. Die Überwachung installierter Erweiterungen und die Einschränkung von Registries auf Richtlinienebene können die Exponierung weiter senken.

Fazit

VS-Code-Forks führen ein subtiles, aber ernstzunehmendes Risiko in der Lieferkette ein, wenn sie Erweiterungen empfehlen, ohne deren Existenz oder Eigentümerschaft zu verifizieren. Angreifer können dieses Vertrauensmodell ausnutzen, um bösartige Erweiterungen zu verbreiten, die direkt in Entwicklungsumgebungen ausgeführt werden. Mit der zunehmenden Fragmentierung des IDE-Ökosystems müssen Entwickler und Organisationen strengere Kontrollen für das Erweiterungsmanagement einführen, um Code, Anmeldeinformationen und Build-Systeme zu schützen.