Hay otro producto de Microsoft que ha habido bastante tema.
Bastante tema con el tema de un virus.
Y estamos hablando de Visual Studio Code, el editor de código más utilizado hoy en día.
La historia es de aupa para asustarse bastante.
Y ojo, cuidado, porque es una extensión que tiene millones, no una ni dos, no.
Millones de descargas.
Entonces, a ver si eres tú uno de estos que tiene esta extensión o este tema instalado.
Vamos con el temazo porque hay que tener cuidado con estas cositas.
Una extensión maliciosa con millones de descargas descubierta.
No, ¿te imaginas que es la de Slint?
Vamos, nos cagamos todos encima.
Si es la de Slint, estamos todos muertos, todos muertos.
No, no es la de Slint, no es la de Slint, no es ninguna de estas.
También os voy a decir una cosa sobre tema extensiones.
A ver, tema extensiones, hay un tema importante, que no significa nada.
También os digo, también os digo que no significa nada.
Porque, porque veis, a ver, lo primero que esté verificado, esto es importante,
pero eso no significa que seguro, seguro, seguro que va a ser la correcta.
Lo que sí que os recomiendo, aparte de esto, por ejemplo, error lens, mira, no está verificada.
Yo la estoy utilizando aquí como si fuera mañana.
Lo que sí que os recomiendo es que busquéis la extensión dos veces.
O sea, imagina que queréis instalar error lens y alguien o algo, o desde algún sitio,
veis la página, o sea, error lens, por ejemplo.
Y entráis aquí, error lens, y le dais aquí y lo descargáis.
Error lens, que sí, que tiene 4 millones de instalaciones, que no sé qué, no sé cuánto.
Yo una cosa que os recomiendo es que una vez que le deis aquí a instalar,
vais aquí a las extensiones, ¿vale?
Y la buscáis igualmente otra vez.
¿Por qué?
Porque alguna vez me ha pasado, alguna vez me ha pasado, que he dicho, hostia, ¿por qué hay dos?
¿Y cuál es la correcta?
¿Veis aquí, por ejemplo, imagínate esta de In Your Face?
Incredibly In Your Face.
O sea, hay como un montón que son exactamente la misma.
Y entonces miráis ahí las instalaciones y ahí os informáis un poquito,
porque os la pueden colar, así que tened cuidado.
En este caso, había una que se llama Darkula.
Darkula.
Que claro, es que fíjate, claro, está Darkula.
Official Dracula theme a Dark theme, no sé qué, no sé cuánto.
Claro, que dice, ¿cómo que official?
¿Cómo que official Dracula theme?
Con mil descargas, ¿veis?
Esto verificado.
Si se llama Darkula.
Si la has escrito mal, hijo puta.
¿Cómo va a ser oficial?
¿Cómo va a ser oficial?
¿Cómo va a ser oficial?
Entonces, tiene mal asunto.
¿Veis?
Esta tiene mala pinta.
Encima, fíjate, Darkula.
Es que menos mal que tiene un tipo, ¿eh?
Que si no, pues Darkula theme.
Pues esta ya, de hecho, esta no es, no funciona ni la página web.
¿Cuál es?
¿Cuál es la extensión?
Venga, os digo ya cuál es la extensión.
La extensión, amigos y amigas, es esta de Darkula.
Y yo os voy a enseñar, mira, un grupo israelí de investigadores ha explorado la seguridad de Visual Studio Code Marketplace
y ha encontrado cómo poder infectar a más de 100 organizaciones haciendo un troyano de una copia de la,
ahora, el tema muy famoso, Drácula Official Theme, ¿vale?
Drácula Official Theme to include risky code, ¿vale?
Drácula, para el que no lo sepa, es bastante famosa.
No Drácula, no este, sino este, este, Drácula Theme, pero bien escrito.
Este sí que es un theme muy famoso, que además tiene un montón de colores, que está muy, muy, muy chulo.
Lo usa un montón de gente, que tiene una versión pro, ¿ves?
Tiene una versión pro de pago, impresionante.
Bueno, pero este es el oficial, que es Drácula.
Entonces, alguien ha hecho una copia y han puesto ahí código, que es con mal asunto.
Dice, y aquí lo tenemos por aquí.
¿Cómo lo han hecho?
Dice, para este experimento, o sea, lo han hecho ellos, dice,
los investigadores han creado una extensión con algunos errores a posta, ¿no?
Del theme Drácula Official le han cambiado a Darkula, Darkula Official, ¿veis?
Con un pequeño error.
Dice que es un theme que es muy popular, se lo han copiado exactamente todo, pero con ese tema.
Esta extensión fake ha sido utilizada en esta investigación y lo que ha dicho,
han creado un dominio para poder verificar el publisher,
que por eso os decía que lo del verificado este no sirve absolutamente para nada.
O sea, que tened cuidado, porque el hecho que sea verificado,
lo único que significa es que han verificado, han como atado el dominio a la extensión.
Ya está, ¿vale?
Lo digo porque mucha gente dice, no, no, este, este, que es el verificado.
Verificado, verificado.
Hoy los verificados no sirven para nada.
Si los de Twitter, en realidad pagando, lo tienes verificado.
O sea, que ya está.
Lo que sí que es interesante es que el verificado está atado a un dominio, ¿vale?
Aquí sí que está lo interesante.
Entonces, lo que yo recomiendo es que si está verificado,
esto significa que esta extensión está relacionada con este dominio.
Y entonces podéis ir al dominio y ahí investigáis.
Pero aquí, primero, que está vacío.
¿Veis? No sé, hay cosas, ¿eh?
Si os fijáis aquí hay cositas, hay cositas, pero está vacío.
Eso primero.
Luego que tiene aquí un Dárcula, ¿vale?
Que no es Drácula.
O sea, que tened cuidado con esto,
pero sí que podéis echarle un vistazo al menos al dominio
para ver si realmente es el oficial o no es el oficial.
Dale a instalar.
Por eso es lo que queréis ver el mundo arder.
No lo vamos a hacer, no lo vamos a hacer.
Pero esperaos que hay más.
Espérate, si es que esto es lo de menos.
Lo que pasa es esto.
Dice, esta extensión utiliza el código legítimo del theme de Drácula,
pero además añade un script que colecciona información del sistema,
incluyendo el hostname, el número de extensiones instaladas,
el nombre del dispositivo, el sistema operativo,
y lo envía todo con una petición post a un servidor totalmente externo.
Esto es lo que hace que podría hacer cualquier otra cosa.
O sea, aquí podría, vamos, te podría estar haciendo...
Te podría hacer un destrozo.
Aquí solo hace esto, pero lo que hace está ejecutando aquí el código.
Y aquí yo creo que es donde viene un tema bastante polémico e interesante.
Y es, ¿qué es lo que debería ocurrir?
Esto es uno de los problemas que siempre hay en las plataformas de JavaScript
que siempre están abiertas por defecto.
Como por ejemplo, Node.js.
Node.js a día de hoy no tiene un sistema de permisos.
Igual le pasa a Visual Studio Code, que no tiene un sistema de permisos como tal.
Y yo creo que en esto algo debería hacer.
Claro, si Visual Studio Code o Microsoft como tal tiene un marketplace
que deja que cualquiera publique una extensión,
a ver, es muy inocente por mi parte pensar que van a poder revisar
todos y cada una de las extensiones.
Eso lo puedo llegar a entender.
Aunque hoy en día con inteligencia artificial creo yo que algo se podría hacer.
Pero un sistema de permisos de forma que de alguna forma el plugin o la extensión
no tenga acceso a enviar una petición a una URL a no ser que el usuario
cuando instale la extensión le da todos los permisos y te los pone todos.
Yo creo que eso sí lo deberían utilizar, ¿no?
La única forma que podrían hacer eso es que cobren.
Estoy de acuerdo y yo creo que ahí no íbamos a pasar ninguno.
Pero creo que sí que al menos un sistema de permisos se debería poder, ¿no?
Sí que debería poderse en el sentido de decir, oye, no puede, por ejemplo,
hacer peticiones externas o grabar en el disco o leer archivos del disco
o qué archivos del disco va a leer y que tener que aceptar, pues, digamos,
los permisos de la extensión.
Porque es que si no, esto, esto al final es poco lo que ha pasado.
Esto es una broma, básicamente.
Poco han hecho, poco han hecho.
Dice, por desgracia, la tradicional endpoint security tools no detecta esta actividad
y han demostrado esto, ¿no?
Visual Studio Code está construido para leer un montón de archivos
y ejecutar muchos comandos y crear procesos hijo.
Y entonces el EDR, que entiendo que el EDR debe ser el sistema este
en el que intenta evitar este tipo de peticiones,
no lo entiende y esta actividad la ve como actividad legítima, ¿vale?
Y no la ve como una extensión maligna.
Y ahí está.
Esta extensión rápidamente ha ganado tracción.
Fijaos, os voy a decir una cosa que va a hacer mucho daño, ¿eh?
Hacerse rico en internet es cuestión de falta de escrúpulos.
O sea, si tú no tuvieses escrúpulos en esta vida, si tú eres un malaje, si eres mala persona,
si tú eres mala persona, leyendo este artículo te da una mala idea.
Las cosas como son.
O sea, no os estoy diciendo que la hagáis.
Pero, claro, si ya te están dando aquí los ingredientes, básicamente, te están diciendo,
mira, pilla una copia, te haces una copia de una extensión, te haces una copia de una extensión que se llame casi igual,
te copias todo el código, que sea de código abierto, puede ser la de Slint,
y haces algo que obliga a la gente.
Vete a saber, es que a veces no hace falta ni que los times, ¿sabes?
A veces no hace falta ni que engañes a nadie, sino que, o sea, no que engañes,
quiero decir, que le ataque el rollo con un código, un virus.
A lo mejor puedes instalar la extensión de Slint, la misma, pero le pones una H.
Slint con H, con H, es que no tiene sentido.
Y encima, lo que haces es pedirle dinero y le dices, oye, necesitamos, ¿sabes lo de la Wikipedia que pone?
Pero imagina algo así, ¿eh?
10 de junio, Slint no se vende.
Disculpa si somos un poco insistentes, pero para poder mantener Slint,
necesitamos que nos dones un euro para continuar desarrollándolo.
Por favor, ayúdanos, dona un euro, ¿vale?
Tú imagínate que caen 100.000 personas.
Bueno, es mucha gente, pero 10.000, 10.000 personas, 10.000 personas.
Ya tienes ahí, pues eso lo haces con un montón de extensiones,
un montón, un montón de extensiones.
A ver, obviamente, anotas ideas millonarias.
No, no os digo que la hagáis, ¿eh?
No digo que la hagáis.
Pero que sí que me sorprende esto, ¿no?
Que fijaos aquí, que esta extensión ganó tracción muy rápidamente,
porque mucha gente, claro, de forma equivocada, pensaba que era la oficial.
Incluso, fijaos lo que hice.
Dice incluso una empresa pública que tiene un market cap de 483.000 millones de dólares.
O sea, alguien de esta empresa...
Es que fijaos el destrozo que se puede hacer.
Alguien que estaba en esta empresa,
de repente instala esta extensión,
y vamos, se cae el sistema.
Yo creo que caería más gente con Slim Pro.
Ostras, esa sea buena, ¿eh?
Slim Definitive Edition.
Slim Pro...
Slim Premium.
Slim Expert.
Es que te puedes imaginar un montón.
Te puedes imaginar todas las que tú quieras.
Y entonces, creas Slim, pero le añades Error Lens.
Que a lo mejor hay gente que no lo conoce.
Slim Plus.
Slim Plus.
O sea, me gusta.
Slim Copilot.
Que ahora está de moda Copilot, ¿vale?
Y encima le instalas como Error Lens para que salga en la misma línea y ya.
Dices, desde el experimento, que no tenía intenciones malignas,
pero fijaos toda la información que han estado recuperando en 24 horas, ¿eh?
1.280...
Mira, 229 millones de instalaciones.
Es que no lo puedo creer.
Ah, vale.
Dice...
Dice, 1.283 han tenido el código maligno.
8.000 han estado comunicando su IP.
1.452 han estado ejecutando ejecutables desconocidos.
Madre mía, madre mía.
La falta de controles bastante potentes por parte de Microsoft a la hora de revisar el código.
Estos mecanismos en el Marketplace permiten que actores malignos, como a la gente, puedan abusar de la plataforma.
Y que vaya a peor conforme más se utilice esta plataforma.
Lo puedes decir por los números, que hay un montón de extensiones que tienen un riesgo para las organizaciones en el Marketplace de Visual Studio Code.
Las extensiones han abusado y han expuesto un vertical, una forma de ataque, ¿no?
Con cero visibilidad, mucho impacto y mucho riesgo.
Entonces, nada, solo que tengáis en cuenta, yo os recomiendo que ahora, cuando termine el stream,
le hagáis...
Vayáis aquí y le echéis un vistazo a las que tenéis instaladas, ¿vale?
Le echáis un vistazo.
Y si veis alguna rara, yo qué sé, mira, por ejemplo esto.
¿Esto qué es?
Action Force.
Esto no lo utilizo.
Esto fuera.
Bueno, pues eso.
Que vayáis eliminando las que no utilizáis, ¿vale?
Ya que las tenéis ahí, mira, Composer.
No toco Composer y hace la tira.
Fuera.
Tom, nada.
No utilizo mucho esto.
Bueno, pues todas las que vayáis viendo por ahí que tienen mala pinta, ¿vale?
Mira, Live Server.
Me gusta más la de Microsoft.
Fuera.
Desinstalar.
Bueno, pues todas las que podáis, las vais quitando.
Más que nada, PHP.
Pero si PHP está muerto, si ya no se usa.
PHP.
Desinstalar.
Desinstalese.
Fuera.
Ala, pues así.
Y vais con...
Este no ha usado en mi vida.
Mirad.
¿Qué es lo que puede pasar a veces?
Esto es un consejo de vida.
A veces podéis instalar una extensión de Visual Studio Code que no es polémica, que
no tiene ningún problema de seguridad, que no pasa nada.
Pero, pero, ¿qué puede ocurrir?
Que vosotros la instaláis y la dejáis ahí y os olvidáis como lo que me ha pasado a mí, ¿no?
Yo aquí, como podéis ver, tengo extensiones que seguramente instalé en el año 2020.
O sea, que hay extensiones.
Tauri hace mil años que no toco.
Pero bueno, ahí está instalada, ¿no?
Imaginad que hace mil años que no tocáis.
¿Qué es lo que puede ocurrir?
¿Qué ocurre?
Más de lo que pensáis.
Pues que el desarrollador de esta extensión se aburre.
Se aburre, quiere vivir la vida, quiere comprarse un perrito, tener una familia, irse a Japón,
yo que sé, lo que sea.
Y entonces vende la extensión a alguien, no se sabe a quién, a una empresa desconocida.
Una empresa que no se sabe cuáles son sus motivos.
Y esto, que puede parecer que dirás, como te pasas, esto pasa mucho más de lo que crees.
Por ejemplo, ha pasado hace poco con Hidden Bar.
Hidden Bar es una aplicación bastante chula, o era una aplicación bastante chula, de macos.
Que lo que hacía es que te mostraba arriba, ¿vale?
Te mostraba, veis aquí lo teníamos, como una separación y tal.
No sé, no me acuerdo si era Hidden Bar, que lo que te permita era básicamente ocultar todos los iconitos que veis aquí arriba a la derecha.
Todos estos iconitos los podías ocultar.
Era gratis.
Es una aplicación gratis que dices, no tiene mucha historia.
O sea, es una aplicación gratis.
Pero el problema es que, de repente, han vendido esta aplicación a una empresa que no se sabe quién es.
O sea, una empresa desconocida.
La subida y potencial caída de Bartender, no sé qué, Hidden Bar, que no sé qué.
Bueno, pues lo que ha pasado es que...
No, ¿Hidden Bar? A ver, Hidden Bar, Bartender...
No, no recuerdo que si es Bartender.
Eso, Bartender.
No, Hidden Bar no.
Bartender es la que han vendido.
Bartender la ha adquirido un desarrollador desconocido.
Entonces, Bartender ahora mismo está instalado por, yo qué sé, 100.000 ordenadores en todo el mundo.
Puede ser que por lo que sea, Bartender, el nuevo desarrollador, pues oye, puede ser que no pase nada.
Pero imaginad que tiene malas intenciones.
Pues todo el mundo que la tiene instalada, de repente, se encuentra con este problema.
Dice, claro, los usuarios de Bartender, escépticos por los nuevos dueños de la aplicación.
Que es que ni siquiera se sabe exactamente quién es los que están detrás.
Mira, ha sido reemplazado de forma silenciosa y de una manera dudosa.
Entonces, dice, las autorizaciones de la versión 5.052 nuevas están bajo tu riesgo y responsabilidad.
Así que tened cuidado con estas cosas porque aunque al principio instaléis algo que parece que va bien, luego cuidado con esto.