Campanha de malware no GitHub que se faz passar por avisos de segurança do VS Code

Recentemente, saiu à luz uma campanha massiva que está explodindo a seção de Discussions do GitHub para enganar desenvolvedores e colar malware sob a aparência de avisos de segurança do Visual Studio Code. Segundo o relatório publicado pela assinatura de segurança Socket, os atacantes criam publicações que parecem notificações legítimas de vulnerabilidades — com títulos alarmistas, supostos identificadores CVE e, em muitos casos, a suplantação de mantenedores ou pesquisadores reais — com a intenção de que o destinatário baixe “parches” alojados fora dos canais oficiais.

O vector é simples mas eficaz: as publicações são geradas automaticamente desde contas novas ou pouco ativas e são publicadas em milhares de repositórios em questão de minutos. Ao etiquetar em massa a contribuintes ou “watchers”, essas mensagens disparam as notificações por e-mail do GitHub, chegando diretamente a bandejas de entrada onde, com a premura que provoca um aviso de segurança, podem ser ignorados sinais de alarme evidentes.

As entradas fraudulentas costumam incluir links para arquivos hospedados em serviços de terceiros como o Google Drive. Embora a simples vista Drive seja um serviço de confiança, é precisamente onde reside a armadilha: o link redirige a uma cadeia baseada em cookies que acaba levando ao domínio malicioso (por exemplo, drnatashachinn[.]com), onde um programa JavaScript é executado. Esse código não instala a carga maliciosa imediatamente; primeiro recolhe telemetria do visitante — zona horária, localização, agente de usuário, sistema operacional e pegadas que indicam automação — empacote esses dados e envia-os para um servidor de controle mediante pedido POST. Trata-se de uma técnica típica dos sistemas de distribuição de tráfego (TDS): filtrar bots e pesquisadores e entregar a segunda etapa apenas a vítimas validadas.

Socket não conseguiu capturar a segunda etapa, portanto, não está totalmente documentado que tipo de malware se distribuiria se a vítima passa esse filtro, embora a arquitetura e a escala sugerem que estamos diante de uma operação organizada e com recursos. É importante assinalar, além disso, que o programa inicial não tenta roubar credenciais nesse ponto, o que pode induzir a erro: a ausência de um roubo direto de credenciais não implica ausência de risco.

Esta não é a primeira vez que atores maliciosos abusam dos mecanismos de notificação e colaboração do GitHub. Nos últimos anos, surgiram diversas campanhas que aproveitaram comentários, pull requests ou até solicitações de autorização para aplicativos OAuth maliciosas para acessar contas e distribuir phishing. A novidade aqui é a combinação de suplantação de avisos de segurança de extensões de VS Code, links para “parches” fora do Marketplace e distribuição em larga escala através de Discussions.

Se você receber um alerta deste tipo, convém parar antes de agir. Verifica qualquer identificador de vulnerabilidade em fontes oficiais como o National Vulnerability Database (NVD), o catálogo de vulnerabilidades exploradas da CISA nos Estados Unidos ( Known Exploited Vulnerabilities) ou a base de dados Common Vulnerabilities and Exposures (CVE). Para extensões de Visual Studio Code, verifique a fonte no Marketplace oficial e confirma com os mantenedores do projeto do seu perfil ou canais oficiais antes de baixar ou instalar qualquer arquivo externo.

Também é recomendável rever como você recebe notificações no GitHub e reduzir a exposição desnecessária: olhar a configuração de e-mails e filtros em sua conta ajuda a reduzir o ruído e a probabilidade de cair em cogumelos. Se você detectar uma publicação suspeita, repórta-a ao GitHub para tomar medidas através do formulário de abuso ( Reportar abuso no GitHub) e veja como as notificações funcionam no seu perfil na documentação oficial ( Sobre notificações por e-mail no GitHub).

A lição para desenvolvedores e equipamentos de segurança é dupla: por um lado, manter a calma e verificar a proveniência de qualquer alerta usando canais e bases de dados verificadas; por outro, assumir que os espaços colaborativos massivos podem ser usados como vetores de distribuição e ajustar práticas de higiene digital: validar links, preferir instalações de fontes oficiais, desconfiar de downloads no Google Drive que supostamente substituam repositórios ou marketplaces, e exigir confirmações diretas dos mantenedores antes de aplicar “parches” urgentes.

A campanha descrita por Socket é um lembrete de que as plataformas que usamos para colaborar também são terreno fértil para o abuso, e que a confiança implícita em serviços populares pode ser manipulada por operações sofisticadas. Manter hábitos de verificação e aproveitar as fontes oficiais para contrastar alertas reduz drasticamente as chances de ser vítima.

Para quem quiser aprofundar a pesquisa original, o relatório técnico do Socket está disponível em seu blog: Widespread GitHub campaign uses fake VS Code security alerts to deliver malware.