GlassWorm惡意軟件卷土重來 三款新VSCode擴展下載量超萬次

上月曾入侵OpenVSX與Visual Studio Code應用市場的GlassWorm惡意軟件攻擊活動再度回歸，此次新增三款攜帶惡意載荷的VSCode擴展，累計下載量已超1萬次。

GlassWorm是一套惡意軟件攻擊體系，通過Solana區塊鏈交易獲取惡意載荷，攻擊目標包括GitHub、NPM、OpenVSX平臺的賬號憑證，以及49款擴展程序中的加密貨幣錢包數據。

該惡意軟件利用不可見的Unicode字符（顯示為空白但可作為JavaScript執行）實施惡意操作。

其首次現身時，通過微軟VS Code與OpenVSX應用市場的12款擴展傳播，下載量達3.58萬次。不過有觀點認為，攻擊者人為刷高了下載數據，因此該攻擊活動的實際影響范圍尚無法確定。

針對此次安全事件，OpenVSX已為受GlassWorm入侵的部分賬號（具體數量未披露）輪換訪問令牌，實施安全強化措施，并將該事件標記為已解決。

GlassWorm再度來襲

持續追蹤該攻擊活動的Koi Security表示，攻擊者已重返OpenVSX平臺，沿用原有基礎設施，但更新了命令與控制（C2）服務器端點及Solana交易信息。

隱藏的有效負載

三款攜帶GlassWorm惡意載荷的OpenVSX擴展如下：

-ai-driven-dev.ai-driven-dev — 3400次下載

-adhamu.history-in-sublime-merge — 4000次下載

-yasuyuky.transient-emacs — 2400次下載

Koi Security指出，這三款擴展均采用與初代惡意文件相同的不可見Unicode字符混淆技術，且該技術仍能成功繞過OpenVSX新增的防御機制。

正如Aikido此前報告所述，GlassWorm操作者并未因上月的曝光而退縮，已轉向GitHub平臺活動。此次通過新擴展重返OpenVSX，表明其有意在多平臺恢復攻擊運營。

攻擊基礎設施遭曝光

借助匿名線索，Koi Security成功接入攻擊者服務器，獲取了該攻擊活動受害者的關鍵數據。檢索到的數據顯示，GlassWorm的影響范圍遍及全球，受害者系統分布于美國、南美洲、歐洲、亞洲，其中還包括中東地區的一個政府機構。

關于攻擊者身份，Koi Security透露其為俄語使用者，采用RedExt開源瀏覽器擴展C2框架開展攻擊。

來自暴露端點

研究人員已將所有獲取的數據（包括多個加密貨幣交易所及即時通訊平臺的用戶ID）提交給執法部門，并正協調推進受影響機構的通知工作。

Koi Security透露，目前已確認60名獨立受害者，同時指出此次僅從一個暴露的端點獲取了部分受害者名單。目前，這三款攜帶GlassWorm惡意載荷的擴展仍可在OpenVSX平臺下載。

參考及來源：https://www.bleepingcomputer.com/news/security/glassworm-malware-returns-on-openvsx-with-3-new-vscode-extensions/