Descubiertas extensiones maliciosas en vscode con millones de instalaciones [ENG]

Un grupo de investigadores israelíes exploró la seguridad del market deVSCode y consiguió "infectar" a más de 100 organizaciones troyanizando una copia del popular tema 'Dracula Official' para incluir código de riesgo. Investigaciones posteriores en el marketplace encontraron miles de extensiones sospechosas con millones de instalaciones.

[#6 sieteymedio]

Joder con los putos israelíes. No se les ocurre nada bueno, ¿eh?

[#8 salteado3]

#6 Lo hicieron por "investigar". Como Pegasus.

[#14 sotillo]

#6 Infectando todo lo que tocan

[#2 armadilloamarillo]

"The researchers plan to publish their 'ExtensionTotal' tool along with details about its operational capabilities next week, releasing it as a free tool to help the developers scan their environments for potential threats."

Habrá que echarle un vistazo cuando esté disponible

[#1 noexisto]

Cito (traducido)
“.. Informes anteriores han destacado lagunas en la seguridad de VSCode, lo que permite la suplantación de extensiones y editores y extensiones que roban tokens de autenticación de desarrolladores…”

No te lo pierdas que se usa sobre todo por el modo oscuro
“ Drácula es utilizado por una gran cantidad de desarrolladores debido a su modo oscuro visualmente atractivo…” (traducido)

[#7 hdk]

#5 Ya fuera de coñas, el desarrollador principal de vim murió el año pasado y el problema que tenía vim es que el código base era muy caótico.

[#10 camvalf]

#7 #9 perdón me he dado cuenta que no añadi

[#13 Ergo]

#7 Anda, como el código de menéame

[#3 anthk]

Dejad de usar esas mierdas y al menos usad VSCodium o un Emacs reciente con Git.

[#4 armadilloamarillo]

#3 Emacs? eso solo lo usan los pulpos y la gente con polidactilia.
Los hombres de verdad usamos Vim o NeoVim.
.  

[#5 camvalf]

#4 NoeVim? que cool eres.

[#9 prejudice]

#5 neovim está bastante bien.
Aparte existen distribuciones de neovim que te dejan todo a punto para empezar a desarrollar, como astronvim.com/

[#21 zeioth]

#9 Sujétame el cubata: github.com/NormalNvim/NormalNvim

[#11 tableton]

#4 Neovim? Vim? eso es de cobardes.
Vi a pelo

[#15 EmuAGR]

#11 Pues anda que yo que uso Nano... Para qué aprender un montón de funciones especiales y el lío de modos de edición sin ayuda cuando Nano trae atajos de teclado modernos y diálogos visuales para las combinaciones.

Maldito atraso que es vi.

[#17 mirav]

#15 Imagino que lo diras en broma de forma ironica o bien no has abierto vi en la vida.

Aunque ahora que lo pienso igual lo has abierto y aun tienes el tty con el vi puesto por no saber salir

[#19 EmuAGR]

#17 Vi me parece una basura de editor, y lo digo sin tapujos y sin ironía. Se puede personalizar y toda la pesca, pero es CERO user-friendly. La broma tonta que mencionas de no saber usar "[Esc] :q!" es el mejor ejemplo de ello.

Lo tengo que usar ocasionalmente desde hace 12 años pero me sigue gustando más Nano con sus atajos de teclado auto-documentados. Tengo cosas mejores que hacer con mi tiempo que estar personalizando vi(m) para cada curro, proyecto o sistema con el que trabaje.

[#20 mirav]

#19 ni vi, ni vim, ni neovim estan pensados para ser user friendly. Yo llevo usando vi -> vim -> neovim desde el 2000. Al principio por comodidad (aprende vi motions y ya me diras como te puedes mover a esa velocidad sin raton en cualquier otro programa). Desde que me pase a neovim me he puesto mas en serio y no es que sea mejor, es que da sopas con ondas a cualquier "editor" como nano. No voy a hablar de emacs pq no lo he usado nunca y tp quiero levantar ampollas por otros…   

[#24 prejudice]

#19 comparar neovim con nano es como comparar un automóvil con un patinete eléctrico.
Para conducir un automóvil necesitas formación previa, para el patinete no.
Si solo lo quieres para ir a comprar el pan te vale cualquiera, pero un patinete eléctrico nunca te llevará a dónde te puede llevar un automóvil, ni con la misma comodidad.
Yo uso VS Code con extensión de neovim por ergonomía. No tener que mover las manos para usar los cursores, y tener que usar bastante menos teclas como Control, y Alt se agradece bastante a larto plazo

[#22 tableton]

#17

[#23 tableton]

#15 a mi no me queda otra, en los servidores de mi curro solo esta permitido vi y joe por seguridad

[#25 sesshoumaru]

#4 www.biloynano.com/epoca/tira-ecol/page/2/

[#18 guixOS]

#3 Estuve probando vscode un tiempo para al final volverme a emacs.
El problema que tengo con emacs es que los combos son distintos (copiar, pegar, etc) pero al final uno se acostumbra.

[#12 JAIL]

Si no he falla la memoria, llevan tanto tiempo con el troyano que han conseguido que sea parte del paisaje habitual.
Creo recordar haber visto Darcula hasta en IntelliJ.
De hecho, lo tiene interiorizado hasta el autor del artículo:
Their extension uses the actual code from the legitimate Darcula theme.

[#16 EmuAGR]

#12 Pero "Darcula" es un tema oficial de IntelliJ, éste israelí se llama "Dracula Official". En el marketplace de IntelliJ sí hay otros derivados del estilo "Darcula Darker" y cosas así.