Pular para o conteúdo
CyberArmorPlataforma para consultoria de segurança
extensão maliciosa vs codeglasswormopen vsx malwarebloquear extensões chrome empresa

Extensões maliciosas no VS Code e no Chrome: como controlar

Uma extensão maliciosa no editor de código ou no navegador roda com o mesmo acesso do programador e pode levar tokens do GitHub, senhas e sessões abertas. O caso GlassWorm mostrou isso no VS Code e no Open VSX. Sua empresa reduz o risco com uma lista de extensões permitidas, aplicada por política nas máquinas.

Por Equipe CyberArmor

Por que uma extensão do VS Code pode roubar dados da empresa?

O computador do programador guarda as chaves da empresa. Lá ficam o acesso ao GitHub, os tokens de publicação de pacotes, as credenciais de nuvem e as sessões abertas no navegador. Quem controla essa máquina chega ao código e aos sistemas em produção.

A extensão do editor é um caminho curto até lá. A documentação do VS Code sobre segurança de extensões diz que uma extensão tem as mesmas permissões do próprio editor: lê arquivos, acessa a rede e executa programas. Extensões do navegador seguem a mesma lógica dentro das páginas que o funcionário abre. Por isso, cada extensão instalada sem critério é um fornecedor de software que ninguém avaliou.

O que foi o GlassWorm?

O GlassWorm é uma campanha de malware descoberta pela Koi Security em extensões do Open VSX, o catálogo aberto de extensões usado por editores derivados do VS Code. Segundo a reportagem da heise online de 21/10/2025, a Koi encontrou o código em 17 de outubro de 2025 na versão 1.8.3 da extensão CodeJoy, que passou a fazer conexões de rede sem relação com sua função. A mesma reportagem informa que extensões infectadas apareceram depois também no marketplace oficial da Microsoft.

Três detalhes tornam o caso didático para qualquer empresa que desenvolve software:

  • Código invisível. O trecho malicioso usava caracteres Unicode que não aparecem na tela. O revisor olhava o arquivo e não via nada, mas o interpretador executava o código.
  • Roubo de credenciais de desenvolvedor. O malware procurava tokens do npm, do GitHub, credenciais do Git e do Open VSX, e usava esse acesso para publicar mais extensões adulteradas.
  • Atualização automática. Quem tinha a atualização automática ligada recebeu a versão infectada sem fazer nada.

A Eclipse Foundation, que mantém o Open VSX, publicou sua análise do incidente em 27/10/2025. Ela atribui a origem a tokens de publicação que desenvolvedores deixaram expostos em repositórios públicos, revogou esses tokens e removeu as extensões maliciosas. A fundação contesta o rótulo de "worm" e a contagem de 35.800 downloads divulgada na época, que considera inflada por robôs. Para o gestor, a divergência pouco muda: a porta de entrada foi a extensão, e o alvo foi a credencial do desenvolvedor.

Como o ataque chegou ao navegador?

A campanha continuou em 2026. O The Hacker News relatou em 25/03/2026 uma análise da Aikido Security em que o GlassWorm chegava por pacotes falsos no npm, no PyPI, no GitHub e no Open VSX. Depois de instalado, o malware forçava no Chrome uma extensão falsa chamada "Google Docs Offline". Essa extensão coletava cookies, teclas digitadas, conteúdo da área de transferência, capturas de tela e o histórico do navegador.

Para descobrir o endereço do servidor de comando, o malware lia uma anotação gravada em uma transação da blockchain Solana. Esse detalhe chamou atenção na imprensa, mas não muda a defesa da empresa. Uma PME não vai monitorar blockchain. O controle que funciona fica antes disso: impedir que a extensão desconhecida seja instalada.

Como controlar as extensões do VS Code na empresa?

O VS Code tem uma configuração chamada extensions.allowed. Segundo a página oficial do marketplace de extensões, quando ela está configurada, toda extensão fora da lista fica bloqueada. A página de implantação corporativa explica que essas regras podem ser aplicadas por política central (Group Policy do Active Directory, Microsoft Intune ou ferramentas de gestão de Mac) e prevalecem sobre a configuração do usuário.

Na prática, sua equipe pode:

  1. Levantar as extensões que os programadores realmente usam hoje.
  2. Aprovar uma lista curta, por publicador ou por identificador, com versão quando fizer sentido.
  3. Aplicar a lista por política nas máquinas da empresa.
  4. Definir um prazo antes de aceitar atualizações. O VS Code tem a configuração extensions.autoUpdateDelay, e os administradores podem gerenciar a atualização automática de forma central.
  5. Criar um pedido simples para incluir extensão nova, com alguém responsável por avaliar o publicador e o código.

Se a equipe usa editores baseados no Open VSX, aplique a mesma regra de lista permitida nesse editor.

Como controlar as extensões do Chrome?

O Chrome gerenciado aceita a política ExtensionSettings. A central de ajuda do Google para administradores mostra como bloquear todas as extensões por padrão e liberar só as aprovadas pelo identificador. A mesma política permite instalar à força as extensões que a empresa exige e exibir uma mensagem explicando o bloqueio.

Com essa política, uma extensão como a falsa "Google Docs Offline" esbarra na regra de bloqueio padrão. Para conferir se a política chegou à máquina, o funcionário de TI abre chrome://policy e verifica o status.

A política de extensões também precisa de uma regra escrita: quem pede, quem aprova, em quanto tempo e o que acontece com as extensões que já estão instaladas.

Por onde começar na sua empresa?

Comece pelas máquinas dos programadores, porque guardam as credenciais mais valiosas. Levante as extensões instaladas no editor e no navegador, remova as que ninguém sabe explicar e aplique a lista permitida. Em seguida, troque os tokens que ficavam salvos em máquinas com extensão suspeita.

Os analistas da CyberArmor incluem as estações de desenvolvimento e as credenciais da esteira no Raio-X do código, um projeto de 2 a 3 semanas. Para manter a lista de extensões e os segredos revisados ao longo do tempo, existe a Esteira segura acompanhada. Para conversar sobre a sua equipe, fale com um especialista.

Fontes