Встроенное в обновление Microsoft Visual Studio Code сообщение с антироссийским призывом было обнаружено в консоли разработчика

Согласно сообщению «Доктор Веб», при установке новой версии редактора Microsoft Visual Studio Code антивирус Dr.Web обнаруживает вредоносный JS-файл. Этот опасный код был внедрён в библиотеку javascript «es5-ext» ещё в 2022 году и до сих пор в ней присутствует.

Что делает вредоносный JS-файл
Вредоносный файл демонстрирует в консоли разработчика призыв с антироссийской позицией касательно СВО:



Данный вредоносный скрипт запускается при соответствии условия часового пояса российских городов. Их полный список можно увидеть на скриншоте: среди них Анадырь, Барнаул, Калининград, Самара и многие другие.

Чем опасен данный код и почему мы его детектируем
Разработчик пакета es5-ext добавил в код вывод всплывающего сообщения в консоль при определенных условиях. Специалисты «Доктор Веб» классифицируют данное поведение как злонамеренную вставку вредоносного кода, не имеющего никакого отношения к функционалу библиотеки, направленную против части пользователей на основе региональной принадлежности, что является достаточным основанием для детектирования.
На данный момент код выполняет только агитационную функцию, но разработчик в любой момент может заменить данный код и наделить его другими функциями: например, с помощью него он сможет удалить все ваши данные с компьютера. Такие случаи в нашей практике уже фиксировались.
Несмотря на то, что о наличии данного кода в библиотеке профессиональному сообществу известно давно, компания Microsoft инкорпорировала этот пакет в свое программное обеспечение в качестве зависимости.

Последствия для пользователей
В результате этого решения все пользователи, обновляющие MS VS Code автоматически, получают вместе с обновлением и «малварный» пакет. Срабатывание антивируса происходит именно в момент загрузки или распаковки обновления, содержащего скомпрометированную библиотеку.

Игорь Здобнов, руководитель антивирусной лаборатории «Доктор Веб»:
"Мотивы, по которым Microsoft включила в зависимость заведомо сомнительный пакет, нам неведомы. Мы рекомендуем пользователям обратить внимание на срабатывания антивируса и, при необходимости, временно приостановить автоматическое обновление до выяснения обстоятельств со стороны разработчика."

«Доктор Веб» настоятельно рекомендует пользователям проверять все загружаемые обновления и обращать внимание на предупреждения антивирусного программного обеспечения. Последняя версия MS VS Code, где нет указанной проблемы — 1.115.

Материал подготовлен:  «Доктор Веб»