偽ClawdBot VS Code拡張機能がScreenConnect RATをインストール

【なぜ重要か】 人気AI支援ツールClawdBotを偽装したVS Code拡張機能が発見され、開発者のマシンにリモートアクセス型マルウェアを密かにインストールする事案が発生しました。拡張機能としては正常に動作するため発見が困難で、開発環境を狙った新しい攻撃手法として注意が必要です。

【ポイント】

• VS Code起動時に自動実行され、C2サーバーから設定を取得してScreenConnect RATを%TEMP%\Lightshotフォルダにダウンロード・実行
• 攻撃者が独自に構築したScreenConnectリレーサーバー（meeting.bulletmailer[.]net:8041）に自動接続し、リモートアクセス環境を確立
• DWrite.dllを使ったDLLサイドローディング攻撃も併用し、Dropboxから同一ペイロードを取得する冗長化された配信メカニズムを実装
• 正規のScreenConnectソフトウェアを悪用した「Bring Your Own ScreenConnect」手法により、セキュリティツールによる検出を回避
• Rust製のローダーには動的API解決や実行時間チェックなどの解析回避機能を搭載

【まとめ】 Microsoftにより拡張機能は既に削除済みですが、開発者は信頼できるソースからのみ拡張機能をインストールし、不審なプロセスやネットワーク接続を定期的に監視すべきです。