恶意 VSCode 拓展已有数百万次安装

今天看到两篇关于同主题的文章，还挺有意思的，给大家分享下。

https://medium.com/@amitassaraf/the-story-of-extensiontotal-how-we-hacked-the-vscode-marketplace-5c6e66a0e9d7

https://www.bleepingcomputer.com/news/security/malicious-vscode-extensions-with-millions-of-installs-discovered/

大概就是几个人故意发布了一个含有恶意代码的拓展，然而他们发现发布过程的审核非常潦草，加之后续拓展被显示到了推荐位，有众多用户中招，甚至包含一家市值 4830 亿美元的上市公司的设备。

大家以后下软件、拓展，甚至联系官方支持的时候，一定要多几个心眼，认证了不等于一定就是正主。