La campaña muestra cómo los atacantes han cambiado su enfoque para dirigirse a la cadena de suministro de software. En lugar de implementar amenazas obvias, los actores de amenazas crearon extensiones que o bien se hacen pasar por paquetes legítimos o bien afirman ofrecer características genuinas. Una vez instaladas, estas extensiones activan código malicioso silenciosamente en segundo plano. Lo que hace que esta campaña sea particularmente sofisticada es el método de ocultación: los atacantes incrustaron archivos ejecutables dentro de lo que parecían ser archivos de imagen inofensivos, específicamente archivos PNG. Este enfoque crea una capa adicional de engaño, ya que los desarrolladores no sospecharían que un archivo gráfico contiene código ejecutable.

 La amenaza surge de una tendencia preocupante. En los primeros diez meses de 2025, las detecciones de malware en VS Code se han cuadruplicado en comparación con 2024, pasando de 27 a 105 instancias. Este marcado aumento indica que el VS Code Marketplace se ha convertido en un objetivo cada vez más atractivo para los actores maliciosos que buscan llegar a las comunidades de desarrolladores.

 Los analistas de seguridad de ReversingLabs identificaron que el malware explota la forma en que se estructuran las extensiones de VS Code. Las extensiones vienen pre-empaquetadas con todas sus dependencias en una carpeta node_modules, lo que les permite ejecutarse sin necesidad de descargar componentes adicionales. Los investigadores descubrieron que los atacantes utilizaron el popular paquete npm "path-is-absolute", que ha acumulado más de 9 mil millones de descargas desde 2021. Al agregar código malicioso a esta dependencia dentro de sus extensiones, convirtieron un componente de confianza en un mecanismo de entrega del troyano.

Mecanismo Técnico de Infección

El proceso de infección comienza cuando VS Code se inicia. El archivo index.js del paquete modificado contiene una nueva clase que se activa automáticamente al iniciarse. Esta clase decodifica un JavaScript dropper oculto dentro del banner.png malicioso. El dropper estaba oculto mediante la codificación base64 y la inversión de cadenas, lo que dificulta el análisis manual. Cuando se ejecuta, este dropper implementa dos binarios maliciosos utilizando cmstp.exe, una herramienta legítima de Windows que los atacantes abusan. Uno de los binarios gestiona el proceso de ataque, mientras que el otro es un troyano basado en Rust más sofisticado cuyas capacidades completas aún estaban bajo investigación en el momento del descubrimiento. Cuatro extensiones en la campaña utilizaron métodos alternativos, dividiendo los binarios en archivos .ts y .map separados en lugar de ocultarlos en archivos PNG.

 Los equipos de desarrollo deben auditar inmediatamente sus extensiones instaladas, verificar sus fuentes y emplear herramientas de análisis de seguridad antes de la instalación para evitar compromisos. Síguenos en Google News, LinkedIn, y X para obtener más actualizaciones instantáneas, Establece CSN como una fuente preferida en Google. La publicación Hackers Infiltrate VS Code Marketplace with 19 Malicious Extensions Posing as PNG File apareció primero en Cyber Security News. Investigadores de seguridad han descubierto una amenaza significativa que se dirige a los desarrolladores a través del VS Code Marketplace. Una campaña coordinada que involucra a 19 extensiones maliciosas ha estado infiltrándose activamente en la plataforma, y el ataque ha pasado desapercibido desde febrero de 2025. Estas extensiones engañosas llevan malware oculto en sus carpetas de dependencias, diseñado para evadir la detección de seguridad y comprometer las máquinas de los desarrolladores. 

Fuentes:

https://www.reversinglabs.com/blog/malicious-vs-code-fake-image
https://cybersecuritynews.com/hackers-infiltrate-vs-code-marketplace/