VSCodeの拡張機能を標的とするサイバー攻撃-12件の悪性コンポーネントを確認|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年10月31日更新日時: 2025年10月31日

2025年10月HelixGuardの調査で開発者向けに広く普及する VSCode の拡張マーケットプレイス（Microsoft VSCode MarketplaceおよびOpenVSX）で、少なくとも12件の悪性コンポーネントが確認されました。

1 概要
2 影響範囲とリスク評価
3 攻撃手口の観察結果
4 確認された悪性コンポーネント一覧
5 インディケータ（IOC）
6 直ちに実施すべきこと（CSIRT／情シス向け）

概要

12件の悪性コンポーネントの内4件は公開時点で未削除です。

複数の拡張が、利用者のソースコードや操作ログ、クリップボード、スクリーンショット等の機微情報を外部の攻撃者サーバへ送信し、さらには恒常的なリモート接続（バックドア）を確立する挙動が確認されています。拡張インストール直後の動作確認を装い外部到達性を検知する軽量ビ―コンや、Gitを模したUIでユーザーを威嚇する偽装機能も含まれていました。

影響範囲とリスク評価

影響は個人開発環境にとどまらず、企業のソースコード持ち出し、秘密情報の窃取、開発端末の遠隔操作、社内ネットワークへの横展開に直結します。DevOps環境ではIDE拡張がCI/CDシークレットやクラウド資格情報に“近接”するため、単一端末の侵害がそのままリポジトリ、パイプライン、クラウド管理プレーンの侵害へ波及しかねません。開発者体験（DX）向上目的の“AI補助拡張”を装うケースも見られ、見た目の正当性により導入障壁が低い点がリスクを高めています。

攻撃手口の観察結果

悪性コードは、拡張のextension.jsやビルド済みout/dist配下に混在し、起動時／アクティベーション時にHTTP(S)ポストやソケット接続を発火します。

データ送信前にテキスト正規化やベース64化で痕跡を目立たなくする工夫が見られ、macOS向けにはosascriptによるログイン項目登録など永続化手法も確認されました。

C2はNgrok、CloudFront、Webhookサービス、EC2など正規風インフラを多用し、運用監視のノイズに紛れる設計です。単純なHello Worldコマンドを同梱して安心感を与える一方で、裏面の通信は静かに継続します。

確認された悪性コンポーネント一覧

Christine-devops1234.scraper（1.0.3–1.0.7、未削除）
端末ID、プロジェクト名、ソースコード、検索クエリ、選択テキストや画像を送信（送信先：35.164.75.62:8080）。
Kodease.fyp-23-s2-08（0.10.0、未削除）
選択コードを整形後、攻撃者管理のNgrokエンドポイントへ送信（例：https://9691-34-83-7-143.ngrok-free[.]app）。
GuyNachshon.cxcx123（0.0.1、未削除）
インストール検知用に外部HTTPリクエストを送出（例：webhook[.]site）。
sahil92552.CBE-456（0.0.2–0.0.6、未削除）
コード解析名目でソースを送信（送信先：bd22-125-63-104-106.ngrok-free[.]app/analyze）。
teste123444212.teste123444212（0.0.1、削除済み）
攻撃者サーバとの永続接続を確立し、任意コード実行を許容（C2：ec2-18-222-167-218.us-east-2.compute.amazonaws[.]com:443）。
Solorzano-JuanJose.fake-extension-test（0.0.1–1.2.2、削除済み）
Git風UIでコマンド実行を誘導、恐怖心を煽る挙動。
ToToRoManComp.diff-tool-vsc（1.0.0、削除済み）
逆シェルを確立し遠隔操作を許容（C2：89.104.69.35:445）。
Deriv-AI.deriv-ai（0.0.1、削除済み）
悪性バイナリ“nightpaw”を取得・実行し、端末情報窃取と遠隔制御を実施（取得元：69.197.175.10:8000）。
EMM.emmpilot（0.5.0、削除済み）
チャットデータを外部に送信（送信先：47.102.103.1:20018/run）。
CodeRanger.ncsu-csc111（0.0.4、削除済み）
ドキュメント操作・保存・デバッグ・ターミナルなどIDE操作ログを送信（送信先：152.14.92.44:5000/log）。
BX-Dev.Blackstone-DLP（0.1.7、削除済み）
スクリーンショットやクリップボードを収集し外部送信（送信先：d1hnchthod2r9c.cloudfront[.]net）。
VKTeam.ru（1.0.0、削除済み）
ユーザー名、ホスト名、OS/アーキテクチャ等のホスト情報を送信（送信先：188.124.39.62:80）。特定ドメイン環境でのみ活動する条件分岐を含有。

インディケータ（IOC）

IP/ホスト例：
35.164.75.62:8080／89.104.69.35:445／69.197.175.10:8000／47.102.103.1:20018／152.14.92.44:5000／188.124.39.62:80／ec2-18-222-167-218.us-east-2.compute.amazonaws[.]com:443
ドメイン／エンドポイント例：
9691-34-83-7-143.ngrok-free[.]app／d1hnchthod2r9c.cloudfront[.]net／webhook[.]site（特定UUIDパス）
※上記は確認された一部です。派生インフラの追加が想定されます。

直ちに実施すべきこと（CSIRT／情シス向け）

インベントリ把握
対象端末でcode --list-extensions --show-versionsを取得し、上記拡張名に該当がないか棚卸します。開発VDIやCIビルダー、Jump端末も含めて横断的に確認します。
隔離・アンインストール
該当拡張を発見した端末はネットワーク隔離の上、VSCodeを終了し拡張をアンインストールします。ユーザプロファイル配下の.vscode/extensionsも確認し、残骸を削除します。
資格情報のローテーション
端末内のSSH鍵、クラウドAPIキー、パーソナルアクセストークン、レジストリ／パッケージトークン（npm/pip/容器レジストリ等）を組織方針に従いローテーションします。
端末フォレンジック
プロキシ／EDRログで当該IOCへの外向き通信を遡及検索し、アクセス時刻・送信量・プロセス親子関係を特定します。録画/スクリーンキャプチャ系の痕跡も確認します。
ネットワーク封じ込め
Ngrok、CloudFront配下の悪性パス、個別IPへのアウトバウンドを一時ブロックし、SASE/Proxyでカテゴリ単位の制御と例外承認を運用します。
ソース／チケット確認
リポジトリへの不審Push・Issue・PR、パイプライン設定変更、シークレット回収の痕跡を確認し、必要に応じて強制パスワードリセットとトークン失効を実施します。