Intervista Contagiosa: Tracciamento del Vettore di Infezione di VS Code Tasks

Sintesi

Il rapporto dettaglia una campagna attribuita alla Corea del Nord che utilizza le definizioni delle attività di Visual Studio Code (tasks.json) per ottenere l’esecuzione iniziale del codice sui punti terminali degli sviluppatori. Le voci di attività dannose eseguono comandi che recuperano payload aggiuntivi da piattaforme di hosting come Vercel, Render e servizi simili, o integrano dipendenze NPM maligne. Questa catena di esecuzione consente infine la distribuzione di backdoor, inclusi BeaverTail e InvisibleFerret.

Indagine

I ricercatori hanno sfruttato la ricerca di codice GitHub per identificare repository contenenti file tasks.json con esecuzioni incorporate di curl o wget. Hanno analizzato i domini di hosting dei payload, documentato i metodi di offuscamento che nascondono script all’interno di file di immagini e font, e scoperto un pacchetto NPM malevolo chiamato jsonwebauth. Lo studio ha anche correlato indirizzi email degli autori dei commit ed espanso la mappatura dell’infrastruttura oltre la distribuzione basata su Vercel.

Mitigazione

Disabilita l’esecuzione automatica delle attività in VS Code e rivedi i contenuti dei tasks.json prima di fidarti o aprire un’area di lavoro. Usa l’ambiente in-browser github.dev per ispezionare i repository senza eseguire attività locali. Monitora i processi figlio sospetti di VS Code, richieste di rete inaspettate verso noti domini di payload, e percorsi di esecuzione di Node.js che tentano di eseguire file non-JavaScript.

Risposta

Se identificato, isola il punto terminale, termina i processi sospetti generati da VS Code e blocca il traffico in uscita verso i domini malevoli associati. Raccogli e analizza i payload scaricati e esegui la validazione forense per l’attività di persistenza e backdoor collegata a BeaverTail e InvisibleFerret.

Esecuzione della Simulazione

Prerequisito: Il controllo preliminare Telemetria e Baseline deve essere superato.

Motivo: Questa sezione dettaglia l’esatta esecuzione della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente le TTPs identificate e mirare a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrativa e Comandi di Attacco:
  Un attaccante che ha già compromesso la workstation dell’utente sfrutta la feature di tasks.json di VS Code per eseguire un Windows eseguibile maligno (payload.exe) tramite Node.js. L’attaccante crea un’attività che invoca cmd.exe /c node payload.exe, soddisfacendo così il requisito di tre parole chiave della regola (feature di tasks.json, node, cmd). Dopo aver salvato la definizione dell’attività malevola sotto la cartella .vscode dell’utente, l’attaccante esegue l’attività tramite il comando palette di VS Code, causando l'apparizione di processi cmd.exe and node.exe nei log di sicurezza di Windows con una linea di comando che contiene le tre stringhe richieste.

• Script di Test di Regressione: (PowerShell – autonomo)

    # ---------------------------------------------------------
    # Malicious VS Code Task Simulation – Triggers Sigma Rule
    # ---------------------------------------------------------
  
    # 1. Prepare a dummy malicious payload (non‑JS executable)
    $payloadPath = "$env:USERPROFILEDesktoppayload.exe"
    # Create a tiny executable using PowerShell’s Add-Type (for demo)
    Add-Type -TypeDefinition @"
    using System;
    public class Dummy {
        public static void Main() {
            System.Console.WriteLine("Payload executed");
        }
    }
    "@ -Language CSharp
    [Dummy]::Main() | Out-File -FilePath $payloadPath -Encoding ascii
  
    # 2. Build the VS Code tasks.json with malicious command
    $vscodeDir = "$env:USERPROFILE.vscode"
    if (-not (Test-Path $vscodeDir)) { New-Item -ItemType Directory -Path $vscodeDir | Out-Null }
  
    $tasksJson = @{
        version = "2.0.0"
        tasks   = @(
            @{
                label   = "Run Malicious Payload"
                type    = "shell"
                command = "cmd.exe"
                args    = @("/c", "node", "`"$payloadPath`"")
            }
        )
    } | ConvertTo-Json -Depth 5
  
    $tasksFile = Join-Path $vscodeDir "tasks.json"
    $tasksJson | Set-Content -Path $tasksFile -Encoding UTF8
  
    # 3. Trigger the task via VS Code CLI
    # (Assumes `code` is in PATH)
    Write-Host "Executing malicious VS Code task..."
    code --folder-uri "$env:USERPROFILE" --command "workbench.action.tasks.runTask" --args "Run Malicious Payload"
  
    # 4. Wait a few seconds for the processes to appear in the log
    Start-Sleep -Seconds 5
  
    # 5. OPTIONAL: Query local event log to verify (for demonstration)
    Get-WinEvent -FilterHashtable @{
        LogName='Security';
        Id=4688;
        Data='node.exe';
    } | Where-Object {$_.Message -match 'tasks.json'} | ft TimeCreated, Message -AutoSize

• Comandi di Pulizia: (PowerShell)

   # Rimuovi payload malevolo e definizione dell'attività di VS Code
    Remove-Item -Path "$env:USERPROFILEDesktoppayload.exe" -Force -ErrorAction SilentlyContinue
    Remove-Item -Path "$env:USERPROFILE.vscodetasks.json" -Force -ErrorAction SilentlyContinue
    # Opzionale: riavvia VS Code per cancellare eventuali attività nella cache
    Get-Process -Name "Code" -ErrorAction SilentlyContinue | Stop-Process -Force