MaliciousCorgi: VS-Code „AI“-Extensions stehlen Quellcode – was Unternehmen jetzt prüfen müssen

code --list-extensions | ? { $_ -in "whensunset.chatgpt-china","zhukunpeng.chat-moss" }

<#
MaliciousCorgi – VS Code Extension Detection & Remediation (Intune-ready)

Exit-Codes (für Intune Detection):
  0 = nicht gefunden (Compliant)
  1 = gefunden (Non-Compliant, betroffen)
  2 = VS Code CLI fehlt (Not Applicable)

Für Intune Proactive Remediations:
  Detection Script: Prüft nur (kein -Uninstall)
  Remediation Script: Führt automatische Deinstallation durch (-Uninstall)

Verwendung in Intune:
  - Detection: Script ohne Parameter ausführen
  - Remediation: Script mit -Uninstall Parameter ausführen
#>

[CmdletBinding()]
param(
  [switch]$Uninstall,
  [string]$LogPath = "$env:TEMP\MaliciousCorgi-Check.log"
)

$Ext1 = "whensunset.chatgpt-china"
$Ext2 = "zhukunpeng.chat-moss"
$Targets = @($Ext1, $Ext2)

function Write-Log {
  param($Level, $Message)
  $Timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
  $LogEntry = "[$Timestamp] [$Level] $Message"

  # Logging für Intune (kann in Intune-Logs eingesehen werden)
  Add-Content -Path $LogPath -Value $LogEntry -ErrorAction SilentlyContinue

  # Console-Output für manuelle Ausführung
  switch ($Level) {
    "INFO"  { Write-Host "[INFO]  $Message" }
    "OK"    { Write-Host "[OK]    $Message" }
    "ALERT" { Write-Host "[ALERT] $Message" }
    "ERROR" { Write-Host "[ERROR] $Message" }
    default { Write-Host "[INFO]  $Message" }
  }
}

# Prüfen, ob VS Code CLI verfügbar ist
if (-not (Get-Command code -ErrorAction SilentlyContinue)) {
  Write-Log "ERROR" "VS Code CLI ('code') nicht gefunden. Script nicht anwendbar."
  exit 2
}

Write-Log "INFO" "Starte MaliciousCorgi Extension Check..."
$Installed = code --list-extensions 2>$null

if ($null -eq $Installed) {
  Write-Log "ERROR" "Konnte VS Code Extensions nicht auflisten."
  exit 2
}

$Found = @()

foreach ($Ext in $Targets) {
  if ($Installed -contains $Ext) {
    Write-Log "ALERT" "Gefunden: $Ext"
    $Found += $Ext
  } else {
    Write-Log "OK" "Nicht gefunden: $Ext"
  }
}

if ($Found.Count -gt 0) {
  Write-Log "ALERT" "Betroffenheit bestätigt: $($Found.Count) Extension(s) gefunden"
  Write-Log "INFO" "Empfohlene Sofortmaßnahmen: Secrets rotieren, Egress-Logs prüfen, Scope klären"

  if ($Uninstall) {
    Write-Log "INFO" "Starte automatische Deinstallation..."
    foreach ($Ext in $Found) {
      try {
        code --uninstall-extension $Ext 2>&1 | Out-Null
        Write-Log "OK" "Deinstalliert: $Ext"
      } catch {
        Write-Log "ERROR" "Fehler beim Deinstallieren von $Ext : $_"
      }
    }
    Write-Log "INFO" "Deinstallation abgeschlossen. VS Code sollte neu gestartet werden."
  }

  exit 1
}

Write-Log "INFO" "Keine der bekannten MaliciousCorgi-Extensions installiert. System ist compliant."
exit 0