Cómo una extensión de VS Code puede robar tu cuenta de GitHub

El incidente reciente en el que GitHub confirmó la exfiltración de miles de repositorios internos tras el uso de una extensión maliciosa de Visual Studio Code pone sobre la mesa un problema poco visible: la confianza excesiva en herramientas del entorno de desarrollo!!

¿Qué ocurrió?

El ataque no se basó en romper servidores directamente. El vector fue algo más simple:

• Uso de una extensión de VS Code comprometida o maliciosa.
• Acceso a credenciales y tokens de autenticación almacenados o utilizados en el entorno.
• Exfiltración de información sensible.
• Compromiso de repositorios internos.

El punto clave no es el fallo de una única empresa, sino el mecanismo, en este caso la cadena de confianza del entorno de desarrollo.

¿Por qué una extensión es tan peligrosa?

Las extensiones en editores como VS Code pueden tener permisos amplios, y eso amigo, sí que puede ser muy peligroso. De entre ellos, los más sensibles podrían ser el acceso a archivos locales, ejecución de scripts, lectura del entorno del sistema, interacción con herramientas externas (Git, APIs, CLI), captura de variables de entorno, etc.
En un entorno de desarrollo, esto incluye frecuentemente tokens de acceso a repositorios junto a sus claves API, credenciales de servicios cloud, sesiones activas...
Como se puede observar, un solo punto comprometido puede abrir múltiples sistemas!!

¿Qué es el robo de tokens?

Muchos ataques modernos no roban contraseñas directamente, en su lugar buscan tokens, los cuales permiten acceso sin necesidad de contraseña. Vamos que si tienes el token, tienes el acceso! 

Por ello en este tipo de ataque buscaban tokens de GitHub, de acceso a APIs, sesiones autenticadas y credenciales temporales en memoria o archivos locales.

Por qué este tipo de ataques es difícil de detectar.

Este caso refleja una tendencia clara, no hay malware "visible", no hay alertas evidentes, no hay comportamiento extraño inmediato... El ataque ocurre dentro de herramientas legítimas.
Además, las extensiones suelen tener buena reputación y eso lo hace aún más peligroso ya que se actualizan automáticamente y se integran profundamente en el entorno de trabajo. Esto justamente reduce la sospecha del usuario.

¿Cómo se produce la exfiltración?

En términos generales, el flujo es claro:

1. Instalación de una extensión aparentemente legítima.
2. Ejecución de código con permisos elevados dentro del entorno del editor.
3. Acceso a archivos o variables con credenciales.
4. Envío de datos a servidores externos.
5. Uso de esos datos para acceder a servicios como repositorios o APIs.

¿Qué implica esto para desarrolladores?

Este tipo de incidentes afecta directamente a repositorios privados, código propietario, infraestructura cloud, entornos CI/CD, datos sensibles de proyectos... El riesgo no es solo individual, sino organizacional.

Reducir el riesgo...¿Cómo?

No existe un entorno completamente seguro, pero sí prácticas que reducen la exposición. Por ejemplo instalar extensiones solo desde fuentes verificadas, revisar permisos antes de instalar, evitar extensiones poco conocidas sin historial...

Además no debemos olvidarnos de separar nuestros entornos de desarrollo y producción, por si las moscas! También deberiíamos NO almacenar tokens en texto plano, aprendamos de lo ocurrido. Otra buena práctica será usar gestores de secretos, rotar credenciales periódicamente (un poco coñazo, lo sé), limitar permisos de tokens (principio de mínimo privilegio).

Lección Aprendida.

El problema no es únicamente el software malicioso evidente, el riesgo actual está en la confianza acumulada en herramientas de desarrollo que nos ofrecen, extensiones, automatizaciones, integraciones, etc. Cuanto más poder tiene una herramienta, mayor es el impacto si se compromete.

Conclusión.

Este incidente demuestra que la superficie de ataque ya no está solo en servidores o aplicaciones expuestas, también está en el propio entorno de trabajo y hoy en día en el desarrollo moderno, el editor de código no es solo una herramienta, es un punto de acceso a todo el ecosistema del proyecto.

>_Saludos!