数百万人を騙した悪意あるVS Codeテーマの正体

皆さん、こんにちは。前回、マーケットプレイス経由で数百万人の開発者がマルウェアにさらされた事件からどれくらい経ったでしょうか。1ヶ月ぶりでしょうか。さて、またもや同じことが起きてしまいました。

ダークモードの皮を被った狼、「Material Theme」にご挨拶しましょう。この非常に人気の高いVSCodeテーマ拡張機能は、その美しいカラースキームの裏にマルウェアを隠し持っていたことが判明しました。

一体何が起きているのか

Material Theme — Freeは、VSCode向けのテーマ拡張機能で、開発者によって3,927,094回インストールされていましたが、依存関係を通じて悪意あるコードが混入していたことが判明しました。このテーマはVSCodeマーケットプレイスで現在最も人気のあるテーマの一つであり、その削除は開発者コミュニティから大きな注目と懸念を集めることになりました。

詳細な分析の結果、そのコードベースの内部には悪意ある意図を示す複数の危険信号が隠されていたことが判明しました。報告を受けてこの拡張機能はVSCodeマーケットプレイスから削除されましたが、それまでに約400万人の開発者と数え切れないほどの組織を危険にさらすには十分な時間がありました。悪意あるコードは、このテーマの依存関係の一つに含まれていたようで、その依存関係自体が侵害されていたとみられます。

この拡張機能の公開者であるEquinusocioは、最近何かと物議を醸し議論の的となっている人物ですが、ストア内で最も人気のある公開者の一人でもあります。同氏はもう一つの非常に人気の高い拡張機能「Material Theme Icons — Free」も公開しており、こちらは500万回以上インストールされていましたが、こちらもマーケットプレイスから削除されました。Microsoftは、Equinusocioの本名であるMattia Astorinoと関連する他の公開者までも削除する対応を取りました。この拡張機能にも同じ悪意ある依存関係が含まれているかどうかについては、現在も調査が続けられています。

公開者Equinusocioが持つすべての拡張機能の総インストール数は、実に13,177,186件にのぼり、この事件の潜在的な影響は甚大であり、その全容はまだ明らかになっていません。

更新(2025年3月12日):拡張機能のクリーンアップ後、公開者はマーケットプレイスへの復帰を果たしました(詳細はこちら)。公開者が悪意ある依存関係を削除したことを評価するとともに、Microsoftがこのテーマをマーケットプレイスに復帰させたことを歓迎します。とはいえ、私たちは常々組織に対して慎重な姿勢を保つことを推奨しており、特にテーマのようなマーケットプレイス上の非重要アイテムについてはなおさらです。

さて、次はどうすべきか

まず、皆さんの環境が感染していないかを確認することをお勧めします。以下に示すIOC(侵害指標)を活用いただくか、私たちまでご連絡ください。

ある拡張機能の開発者を信頼していたとしても、バージョンごとに中身が全く別物になっている可能性があることを常に念頭に置く必要があります。拡張機能の開発者自身、あるいは今回のケースのようにその依存関係の一つが侵害されれば、利用者もほぼ即座に同様に侵害されてしまいます。

これは、私たちが大企業の現場で日々直面しているソフトウェアサプライチェーンにまつわる典型的な問題です。セキュリティと生産性のバランスをどう取るべきでしょうか。私たちは、実務担当者にも企業にも役立つよう、まさにこの課題を解決するための製品を開発してきました。

お話をご希望の方は、こちらからご連絡ください 🤙

IOC(侵害指標)