Evil Twin: O Perigo Oculto nas Extensões que Compromete Seus Pipelines de CI/CD

Segundo o BoletimSec, o Open VSX removeu 77 extensões maliciosas que se passavam por ferramentas legítimas usadas por desenvolvedores. Os pacotes foram publicados entre 26 de julho e 1º de agosto, e ficaram disponíveis por dias suficientes para infectar quem confiou no nome familiar de uma extensão popular. A retirada só aconteceu em 3 de agosto, o que já mostra o tamanho do problema: entre a publicação e a remoção, houve uma janela generosa de exposição.

A técnica usada tem nome e é conhecida na comunidade de segurança como "evil twin". Funciona assim: o atacante copia o nome, a descrição e até o identificador de uma extensão legítima e amplamente utilizada, e publica uma cópia quase idêntica. Quem baixa não percebe diferença nenhuma, porque visualmente é tudo igual. A armadilha está escondida no código.

Por que isso é perigoso para pipelines de CI/CD

Aqui está o ponto que mais deveria preocupar qualquer diretor de TI ou responsável por infraestrutura: essas extensões maliciosas não ficam restritas ao computador do desenvolvedor. Elas coletam informações do ambiente e, em muitos casos, conseguem alcançar os pipelines de integração contínua e entrega contínua.

Isso significa que um único desenvolvedor descuidado, que instalou uma extensão maliciosa no editor de código, pode abrir uma porta para toda a esteira de build e deploy da empresa. Estamos falando de credenciais, tokens de acesso, chaves de API e variáveis de ambiente que normalmente ficam expostas justamente nesses ambientes de automação.

Para quem trabalha com desenvolvimento de software em pequena e média empresa, o cenário é ainda mais sensível. Muitas vezes não existe uma equipe de segurança dedicada, e a confiança em marketplaces de extensões é quase automática. O nome bate, a descrição bate, o número de downloads parece razoável, e ninguém para para verificar o identificador exato do publisher.

O que fica de lição prática

Não dá para tratar isso como um problema distante, algo que só acontece com gigantes de tecnologia. Qualquer empresa que desenvolve software internamente, mesmo que seja um time pequeno, está exposta a esse tipo de ataque. E o motivo é simples: os repositórios de extensões são abertos, e a curadoria nem sempre acompanha a velocidade de publicação de novos pacotes.

Algumas práticas ajudam a reduzir o risco:

• Verificar sempre o publisher oficial antes de instalar qualquer extensão, não ap