Une extension malveillante dans l'IDE Cursor vole 500 000 $ en cryptomonnaies
Une fausse extension pour l'éditeur de code Cursor AI IDE a infecté des appareils avec des outils d'accès à distance et des voleurs de données, entraînant le vol de 500 000 $ en cryptomonnaies chez un développeur russe. Cursor AI IDE est un environnement de développement basé sur Visual Studio Code de Microsoft, prenant en charge Open VSX, une alternative au Visual Studio Marketplace, permettant d'installer des extensions compatibles avec VSCode.
Kaspersky a été contacté pour enquêter sur un incident de sécurité impliquant un développeur russe en cryptomonnaie. Son ordinateur, dépourvu d'antivirus mais considéré comme propre, a été compromis par un fichier JavaScript malveillant nommé 'extension.js' dans le répertoire .cursor/extensions. L'extension frauduleuse, intitulée 'Solidity Language', se faisait passer pour un outil de coloration syntaxique pour les contrats intelligents Ethereum.
En réalité, l'exécution d'un script PowerShell depuis angelic[.]su a permis de télécharger des charges malveillantes supplémentaires. Le script vérifiait la présence de l'outil de gestion à distance ScreenConnect et l'installait si nécessaire, offrant un accès complet à l'ordinateur. Les attaquants ont ensuite téléchargé et exécuté des fichiers VBScript pour déployer d'autres charges utiles, dont un exécutable malveillant contenant VMDetector.
VMDetector a installé Quasar RAT, un cheval de Troie d'accès distant, et PureLogs stealer, un malware volant identifiants, cookies et portefeuilles de cryptomonnaies. L'extension malveillante a été téléchargée 54 000 fois avant sa suppression le 2 juillet, mais Kaspersky soupçonne une inflation artificielle de ce nombre. Une version presque identique, nommée 'solidity', a ensuite été publiée avec près de deux millions de téléchargements.
Les attaquants ont manipulé l'algorithme de recherche d'Open VSX pour classer leur extension au-dessus de la version légitime. Des extensions similaires ont été trouvées sur le Visual Studio Code Marketplace sous les noms 'solaibot', 'among-eth' et 'blankebesxstnion'. Kaspersky met en garde contre les téléchargements depuis des dépôts ouverts, sources courantes d'infections malveillantes.
'Les paquets malveillants constituent une menace majeure pour l'industrie crypto', conclut Kaspersky. 'Nous recommandons une extrême prudence lors du téléchargement d'outils et de vérifier systématiquement leur authenticité.'
