そこまでやる？ 170万DLの人気「Visual Studio Code」拡張機能に巧緻なマルウェア／「Ethereum」のスマートコントラクト言語「Solidity」の開発が楽になるとの触れ込み【やじうまの杜】

[maid_h]

ワンチャンそれなりの価格が付いている暗号通貨をゲットできるならやれることは何でもやってくるぞ。

[wordi]

危なそうなエディタは語弊がある、外部ツールをスクリプトから呼び出す仕組みがあれば実行可能なのでそれだと昨今のエディタがほぼ当てはまっちゃう

[chuukai]

VSCodeじゃなくてEdgeの話だけど、特定の1サイトを閲覧した時のみ活動するマルウェアが疑われる拡張機能を見つけた時には検証作業が面倒で通報せずに放置してしまった。

[Windfola]

全くの門外漢的にはその170万DLの妥当性というか、ツール等での水増しを疑われない程度にはその「Solidity」って人気すごいのかなあというのが気になる。

[strawberryhunter]

VSCodeにはWebブラウザのアドオンのような権限管理は無いからな。危なっかしい。

[miau]

Solidity の拡張機能入れてたので確認してみたけど、問題の拡張機能は 9/30 に公開されたも＆その後マケプレで非公開設定されているとのことで、この 1 週間くらいでインストールした人以外は大丈夫そう？

[everybodyelse]

すごいな。ファイルレスマルウェアとかあるんか。こんなのむしろどうやって見つけたんだ。

[twmw]

ブラウザ拡張もそうだけど「暗証番号知られても良い」ぐらい信頼してる場合のみインストールしないとダメ🙅「みんなインストールしてるから」とか1番ダメ👎

[tekitou-manga]

これ、そこまでやる価値があるからやってんだろうな、怖い怖い < "投票、クラウドファンディング、ブラインドオークション、マルチ署名ウォレットなどの設計に利用できる"

[aike]

数億円のお金が動く分野では1億円かけてマルウェア開発しても元がとれる問題。金融や行政システムはなんとか対策できても、開発者のツールは完全な対策が難しい。

[diveintounlimit]

カモが数人引っかかったらもとが取れちゃうんだろうなぁ。

[pwatermark]

vscodeに拡張入れるってコレくらいのリスクは当然なので、そう思ってなかった人は改めましょう

[m50747]

WEB3系の開発言語だけど仮想通貨後進国の日本では被害は極少数じゃないかな。Chromeのストアもそうだけど審査されている訳じゃないからマジ自己責任だね。企業なら注意しないと。

[Balmaufula]

170万も人口いるの！？

[raitu]

"難読化された「extension.js」がロシアのサーバーから「1.cmb」という名前の小さなファイル（5MBの）をこっそりダウンロードして実行"

[kuippa]

ちゃんとコードを追わないとわからないやつだ。よく気がついたな。閉じ込め環境で使ってるのに外部からファイルを引っ張ってるのを監視してるストリクトなユーザが居たんだろうな。

[htnmiki]

公式を名乗りながら公式からのリンクが無いものをホイホイ入れてしまうものなのか

[nemoba]

そこまでやるというか、暗号資産開発してる奴は暗号資産持ってるやろう。というド直球な奴かと

[yoshikie]

「そこまでやる？」というあおりはちょっとよくわからない。難読化もサンドボックス回避も巧妙なマルウェアなら普通にやるだろ。

[unmarshal]

パッケージにしても拡張にしても、利用するメリットとリスクに真剣に向き合わないとね。今までもそうだったけど、「検索上位だし便利そうだから入れとく」が危険になった

[urtz]

“拡張機能の開発元はイーサリアム財団（Ethereum Foundation）を名乗っています” 偽って170万DL？それとも混入？

[vndn]

しかもちゃんと開発に役立つんでしょ? よくやるなあ

[auto_chan]

ｵｿﾛｼｧ『「extension.js」がロシアのサーバーから（略）ダウンロードして実行』この挙動を分かる人が見たら分かって警告できるように、拡張機能経由の外部通信は許可制にするかなんか手段を講じてほしい。

[kazuya030]

オープンソースは無罪の証明にはならないけど、プラグインのソースは公開して欲しいよね / 公開されてるソースと同一のものがインストールされるかのチェックも面倒

[sirobu]

仕事上開発で使うんだけどプラグインの安全性とかどうやって担保すればいいんだろうなぁ

[dec123456789]

一度見つかったことだし似たようなのが出てきたら次からはWindowsセキュリティが検知してくれるんじゃない？そこまで甘くない？

[birisuken8574]

Googleの社員が盗み見してた事件もあったぐらいだからもう何も信用できないな。

[tsutsuji360]

拡張機能って気軽に入れちゃうからなぁ

[quintet245]

>>「1.cmb」という名前<< cmb？　コンバインの拡張子かな？　V！V！V！