Vs-Code

GitGuardian รายงานว่าระหว่าง 13-21 ตุลาคม ผู้อยู่เบื้องหลัง GhostAction push 72,000 commit เข้า 23,000 repo สาธารณะผ่านบัญชีนักพัฒนาที่ยึดไว้ โดยมี 8,000 repo เป็นเป้าใหม่ ผู้โจมตีส่ง payload 5 แบบตามชนิด runner รวมถึงตัวขอโทเคน OIDC เพื่อสวมบทบาท AWS และ stealer ในไฟล์ฟอนต์ปลอมที่ลอกจาก PolinRider GitHub ตรวจพบและสกัดเวิร์กโฟลว์อันตรายไว้ได้ แต่ผู้โจมตียังเข้าถึงบัญชีที่ยึดไว้ได้ 1,792 บัญชี เจ้าของ repo ควรลบไฟล์ตาม IoC ทุก branch เพิกถอนโทเคน และหมุนเวียน secret ทั้งหมด

Microsoft แก้ช่องโหว่ CVE-2026-81376 ใน Visual Studio Code คะแนน CVSS 9.6 ที่ทำให้ workspace ที่ผู้โจมตีเตรียมไว้ทะลุข้อจำกัดของ Workspace Trust ได้ ผลคือข้อมูลบนเครื่องอาจรั่วหรือโค้ดรันด้วยสิทธิ์ของผู้ใช้ กระทบเวอร์ชัน 1.0.0 จนก่อน 1.136.2 และต้องให้ผู้ใช้เปิด workspace นั้นเอง นาย Sam Chen ผู้ค้นพบรายงานตั้งแต่พฤษภาคม 2569 และได้รางวัล 4,000 ดอลลาร์ ยังไม่มีรายงานการโจมตีจริงและรายละเอียดทางเทคนิคฉบับเต็มยังไม่เผยแพร่

ผู้อยู่เบื้องหลังแคมเปญ GhostAction ขยายจากการฝังเวิร์กโฟลว์อันตรายใน GitHub Actions มาฟิชชิงผู้ดูแลโอเพนซอร์สผ่านโดเมน my-github[.]com หน้าล็อกอินปลอมทำงานเป็น reverse proxy ขโมยรหัสผ่านและรหัส 2FA แล้วอนุมัติ OAuth device flow ให้เองโดยเหยื่อไม่ต้องกดยืนยัน ผู้โจมตียังวาง stealer ในไฟล์ฟอนต์ปลอมที่ VS Code รันอัตโนมัติเมื่อเปิดโฟลเดอร์ พบแล้วใน 94 repo ของ 66 เจ้าของ ขั้นนี้มาถึงหกวันหลัง GitHub เริ่มบล็อกเวิร์กโฟลว์เดิม

แพ็กเกจ npm tensorlake 0.5.144 ซึ่งเป็น SDK แซนด์บ็อกซ์เอเจนต์ AI ถูกฝัง worm ตระกูล ChainDrop/Shai-Hulud หลังคอมมิตอันตรายเข้า main branch ภายใต้ชื่อผู้ดูแลเมื่อ 7 ต.ค. 2569 มัลแวร์รันผ่าน preinstall hook ขโมย token npm, GitHub, คีย์คลาวด์, Kubernetes, Vault, SSH และคอนฟิกเครื่องมือ AI แล้วแพร่ต่อด้วยการ republish แพ็กเกจของเหยื่อ ยังวางไฟล์ .claude และ .vscode ให้รันซ้ำเมื่อเปิดโปรเจกต์ และล้างโฮมไดเรกทอรีหากเหยื่อเพิกถอน token ต้องถอดตัวเฝ้า token ก่อนเปลี่ยน credential

นักวิจัยจาก Proofpoint เปิดโปงแคมเปญ UNK_DeadDrop ที่เชื่อมโยงกับเกาหลีเหนือ โจมตีนักพัฒนาในเกือบ 100 องค์กรด้วยอีเมลฟิชชิงหลอกให้โคลน GitHub Repository อันตรายแล้วเปิดใน VS Code ซึ่งจะรันมัลแวร์อัตโนมัติทั้งบน Windows, macOS และ Linux พร้อมกันนี้ยังพบ VS Code Extension ที่เป็น Backdoor บน Marketplace อย่างเป็นทางการอีกด้วย

นักวิจัยเปิดเผยการโจมตีแบบ one-click ผ่าน VS Code บน GitHub.dev ที่ขโมย GitHub OAuth token ของผู้ใช้ได้เพียงคลิกลิงก์เดียว token นี้ไม่ได้จำกัดสิทธิ์เฉพาะ repo เดียว แต่เข้าถึงทุก repo ที่เหยื่อมีสิทธิ์ รวมถึง repo ส่วนตัว ผู้โจมตีใช้ extension VS Code อันตรายผ่านกลไก message-passing ระหว่างหน้าต่างหลักกับ webview จำลองการกดปุ่มเปิด Command Palette ติดตั้ง extension ที่ข้าม publisher trust GitHub ได้รับแจ้งวันที่ 2 มิ.ย. 2569 Microsoft กำลังแก้ไข ไม่กระทบ VS Code Desktop

นักวิจัยเปิดเผยช่องโหว่ใน extension Remote-SSH ของ Visual Studio Code ที่เปิดทางให้ผู้โจมตีซึ่งยึดเครื่องนักพัฒนาได้แล้ว เด้งต่อเข้าสู่สภาพแวดล้อมคลาวด์และ production VS Code สร้างสคริปต์ bootstrap ไว้ในไดเรกทอรีชั่วคราวที่ผู้ใช้เขียนได้ โดยไม่มีการตรวจสอบความถูกต้องหรือลายเซ็น เกิดเป็น race condition แบบ TOCTOU ผู้โจมตีแทรกเพย์โหลดก่อนสคริปต์ถูกรันบนเซิร์ฟเวอร์ปลายทาง การโจมตีเกิดหลังล็อกอินสำเร็จจึงทำให้ MFA ไม่ช่วย กระทบ extension รวมกว่า 76 ล้านการติดตั้ง

CrowdStrike ร่วมกับ Google และ Shadowserver Foundation ปิด C2 infrastructure ทั้ง 4 ช่องของ GlassWorm พร้อมกัน มัลแวร์ตัวนี้โจมตี developer ผ่าน VS Code extension ปลอม, npm และ Python package เป็นเวลากว่าหนึ่งปี ปนเปื้อน GitHub repository กว่า 300 แห่งด้วย credential ที่ขโมยมา โดดเด่นด้วยการซ่อน C2 address ไว้บน Solana blockchain, BitTorrent DHT และ Google Calendar เพื่อต้านการถูก Takedown

ส่วนขยาย Nx Console เวอร์ชัน 18.95.0 บน VS Code Marketplace ถูกฝังมัลแวร์ขโมย Credential หลังจากเครื่องนักพัฒนาถูกเจาะและ GitHub Credentials รั่วไหล ผู้โจมตีใช้ Orphan Commit ซ่อน Payload ขนาด 498 KB ในที่เก็บโค้ดอย่างเป็นทางการ มัลแวร์ทำงานทันทีที่เปิด Workspace และขโมยข้อมูลผ่าน HTTPS, GitHub API และ DNS Tunneling