Cẩn Thận Kẻo Mất Dữ Liệu! Tiện Ích VS Code Nguy Hiểm Hơn Bạn Tưởng Đấy!

Lê Lân

30/06/2025

Rủi Ro Tiềm Ẩn Khi Sử Dụng Extension Trong Visual Studio Code: Bạn Đã Thực Sự Hiểu Chúng?

Mở Đầu

Bạn thường rất thận trọng khi tải về các tập tin từ nguồn không đáng tin cậy trên mạng. Vậy tại sao chúng ta lại dễ dàng cài đặt vô số extension cho Visual Studio Code (VSCode) mà không biết chúng thực sự làm gì trong "bên trong"? Những extension này được phép truy cập hoàn toàn vào máy tính của bạn, từ hệ thống file, mạng, đến biểu mẫu nhập lệnh và cả thông tin đăng nhập cá nhân. Điều đáng lo ngại hơn là VSCode không có hệ thống sandbox (vùng cách ly) hoặc cơ chế cấp phép giống như các ứng dụng khác để ngăn chặn hành vi xấu. Bài viết này sẽ phân tích kỹ rủi ro bạn sẽ gặp phải khi sử dụng extension không được kiểm soát đúng cách và giới thiệu giải pháp giúp bảo vệ môi trường phát triển của bạn.

Visual Studio Code là trình soạn thảo mã nguồn được dùng phổ biến nhất thế giới, với hơn 14 triệu nhà phát triển sử dụng mỗi tháng. Thành công của VSCode phần lớn nhờ vào hệ sinh thái extension đa dạng nhưng cũng chứa những rủi ro an ninh nghiêm trọng mà người dùng thường bỏ qua.

Những Rủi Ro Ẩn Trong Việc Sử Dụng Extension

Quyền Hạn Của Extension Trong VSCode

Các extension chạy với toàn quyền truy cập hệ thống, bao gồm quyền:

Đọc và ghi file ở bất kỳ vị trí nào trên máy tính

Mở kết nối mạng không giới hạn đến các địa chỉ IP bên ngoài

Khởi chạy các tiến trình con (subprocess)

Thay đổi biến môi trường và các tệp cấu hình

Đây tương tự như việc chạy một ứng dụng Node.js không kiểm soát trên máy tính cá nhân của bạn, với giả định nó hoàn toàn trung thực.

Rủi Ro Cụ Thể

Những quyền hạn rộng lớn này làm gia tăng nguy cơ:

Mã độc lây lan qua extension

Thông tin nhạy cảm bị đánh cắp như token, mật khẩu, API key

Giao tiếp với các máy chủ nguy hiểm hoặc botnet

Lỗ hổng từ các thư viện cũ, không được cập nhật

Phát tán phần mềm độc hại hoặc khai thác lỗ hổng bảo mật

Đây không phải nguy cơ viễn vông. Đã có nhiều case study về extension có hàng chục nghìn lượt tải được phát hiện hoạt động hiệu quả trên các cơ sở hạ tầng đáng ngờ, sử dụng API nguy hiểm hoặc tiết lộ thông tin bí mật công khai.

Thống Kê Từ Việc Quét 1,077 Extension Phổ Biến

Sử dụng công cụ VSCan (xem chi tiết bên dưới), hơn 1.000 extension phổ biến nhất trên Marketplace đã được phân tích với kết quả đáng báo động:

Loại Rủi Ro	Số Lượng Extension Bị Ảnh Hưởng
Tính năng độc hại	3
Kết nối mạng nguy hiểm	7
Thư viện có lỗ hổng	33
Lộ thông tin khóa bí mật	39
Quản trị quyền kém	204
Sử dụng quyền cao	71

Ý Nghĩa Của Những Con Số Này

Không chỉ vài extension độc hại, mà còn rất nhiều extension có rủi ro về bảo mật và quy trình phát triển kém.

Khoảng 1/5 số extension khảo sát có dấu hiệu cấp quyền quá mức, giúp chúng thực hiện nhiều hành vi không an toàn.

Nhiều extension chứa hardcoded secrets (khóa và thông tin bảo mật cứng trong mã), cực kỳ nguy hiểm nếu bị khai thác.

VSCan: Giải Pháp Phân Tích Extension Trước Khi Cài Đặt

Giới Thiệu VSCan

Là một nhà nghiên cứu bảo mật và nhà phát triển, tôi đã tạo nên VSCan — công cụ miễn phí phân tích tĩnh các extension dành cho VSCode, Cursor và Windsurf. VSCan kiểm tra toàn bộ gói extension để phát hiện:

Mã độc được giấu hoặc mã hóa (obfuscated)

Cách sử dụng API nguy hiểm và cách extension kích hoạt hoạt động

Quyền truy cập không an toàn và thực thi lệnh shell

Các thư viện bị lỗ hổng nằm trong dependencies

Những thông tin nhạy cảm bị cài sẵn như API key, token, hoặc mật khẩu

Các địa chỉ mạng đáng nghi hoặc hành vi liên lạc mạng bất thường

Thực hành phát triển phần mềm kém dựa trên OSSF Scorecard

Mã logic có khả năng rủi ro cao, được phân tích bằng phương pháp AST và AI

Cách VSCan Hoạt Động

Công cụ dựa trên phân tích tĩnh để quét toàn bộ mã nguồn mà không chạy code, bao gồm:

Đọc tệp package.json để kiểm tra sự kiện kích hoạt, tập lệnh chính, quyền hạn

Chuyển mã JavaScript/TypeScript sang AST để phân tích chi tiết

Khám phá cây phụ thuộc từ package-lock.json

Phát hiện các cuộc gọi mạng ra ngoài

Kiểm tra thực thi lệnh qua child_process hoặc import động

Phân tích thông tin nhạy cảm qua biểu thức chính quy và chỉ số entropy

Sử dụng dữ liệu OSSF Scorecard đánh giá thực hành bảo mật của repository

AI hỗ trợ xác minh ý định ẩn hoặc mã obfuscated

VSCan là công cụ miễn phí, dễ sử dụng ngay trên trình duyệt, không cần đăng ký, cung cấp cho bạn khả năng phát hiện những rủi ro không thể nhìn thấy chỉ qua tài liệu giới thiệu extension.

Sandbox Thử Nghiệm Cho Môi Trường Chạy Extension

Giới Hạn Cơ Chế Phân Tích Tĩnh

Phân tích tĩnh không thể phát hiện toàn bộ hành vi độc hại, nhất là những hành vi chỉ thể hiện sau khi extension được cài đặt hay trong các điều kiện runtime cụ thể.

Phát Triển Lớp Sandboxing

Để hạn chế quyền lợi quá lớn của extension, tôi đang xây dựng một lớp sandbox runtime thử nghiệm nhằm:

Chặn truy cập file không cho phép

Ngăn thực thi lệnh shell nguy hiểm

Kiểm soát các kết nối mạng ra ngoài

Áp dụng hạn chế quyền trên từng extension riêng biệt

Hiện thực này là bước đầu tiên giúp cải thiện an ninh môi trường VSCode vốn chưa có hệ thống phân quyền riêng biệt.

Đối Tượng Nào Nên Dùng VSCan?

Nhà phát triển: Kiểm tra extension trước khi thêm vào dự án

Kỹ sư bảo mật: Đánh giá thành phần chuỗi cung ứng phần mềm (Software Supply Chain)

Nhóm quản lý môi trường phát triển an toàn

Tác giả extension: Tự kiểm tra code trước khi phát hành

Người dùng các bản sao của VSCode như Cursor hoặc Windsurf phù hợp với nhu cầu bảo mật cao hơn

Kết Luận

Visual Studio Code với hơn 14 triệu người dùng đã trở thành trình soạn thảo phổ biến bậc nhất thế giới mà không có một hệ thống phân quyền hoặc sandbox mạnh mẽ cho các extension. Dù tiện lợi, việc cài đặt mù quáng có thể dẫn đến những rủi ro bảo mật nghiêm trọng, như mã độc tự động thực thi, lộ dữ liệu hoặc hệ thống máy tính bị xâm phạm.

VSCan cung cấp một công cụ phân tích tĩnh mạnh mẽ, giúp bạn kiểm tra extension trước khi cài đặt một cách nhanh chóng và an toàn. Việc chủ động kiểm soát và hiểu rõ về những gì đang chạy trên máy mình là bước đầu tiên để bảo vệ bản thân và dự án của bạn.

Tham Khảo

https://vscan.dev – Công cụ VSCan chính thức

Microsoft – VSCode Market Statistics (Tham khảo thị phần và số lượng người dùng)

OSSF Scorecard – https://ossf.io/scorecard

Nghiên cứu bảo mật phần mềm mở rộng VSCode từ các hội thảo về an ninh mạng 2023-2024

"Supply Chain Attacks via VSCode Extensions" - Bài báo cáo chuyên sâu, 2024

June 1, 2024