Većina programera koristi VSCode bez previše razmišljanja o ekstenzijama koje instaliraju, sve dok te ekstenzije olakšavaju rad ili poboljšavaju izgled programa. Međutim, izraelski bezbednosni istraživači (white hat hakeri) odlučili su da provere koliko je lako napisati VSCode ekstenziju koja izgleda legitimno, a u pozadini izvršava maliciozni kod.
Istraživači su iskoristili popularnu temu "Dracula" i promenili njen naziv u "Darcula". Legitimnost ove teme osigurali su na dva načina: Prvo, naziv "Darcula" koristi se u JetBrains-ovim razvojnim okruženjima, što je mnoge programere navelo da pomisle da je tema zvanična. Drugo, u opisu Darcula teme stajalo je da je njihov web-sajt verifikovan (www.darculatheme.com, koji je sada ugašen). Nakon što su pustili ekstenziju u etar, za samo 24 sata bila je instalirana širom sveta.
Eksperiment je otkrio šokantne podatke kada su istraživači analizirali druge ekstenzije:
- 283 ekstenzije sa poznatim zlonamernim kodom (229 miliona instalacija).
- 161 ekstenzija koje komuniciraju sa hardkodovanim IP adresama.
- 452 ekstenzije koje pokreću nepoznate izvršne fajlove.
- 304 ekstenzije koje koriste GitHub repozitorijum drugog izdavača, što ukazuje da su kopije.
Ono što je zabrinjavajuće jeste činjenica da Microsoft nema ozbiljniju bezbednosnu proveru nad ekstenzijama koje se nalaze u extension store-u. Zbog toga je jedini savet za kolege programere da pažljivo proveravaju ekstenzije pre nego što ih instaliraju u svoj VSCode.