StepSecurity

安全公司StepSecurity分析显示，卸载扩展可能并不足以清除所有痕迹。

恶意代码在扩展加载时立即执行，不需要用户主动触发任何功能。

该扩展运行后执行了收集系统详细信息、读取用户git邮箱地址、枚举环境变量名称、尝试添加攻击者控制的SSH密钥、打开反向隧道、设置辅助驻留机制等操作。

报道中特别提到一个名为“SVC telemetry key”的项需要检查，该类命名往往伪装成系统或遥测组件。