GlassWorm惡意軟件卷土重來 三款新VSCode擴(kuò)展下載量超萬次

上月曾入侵OpenVSX與Visual Studio Code應(yīng)用市場的GlassWorm惡意軟件攻擊活動再度回歸，此次新增三款攜帶惡意載荷的VSCode擴(kuò)展，累計下載量已超1萬次。

GlassWorm是一套惡意軟件攻擊體系，通過Solana區(qū)塊鏈交易獲取惡意載荷，攻擊目標(biāo)包括GitHub、NPM、OpenVSX平臺的賬號憑證，以及49款擴(kuò)展程序中的加密貨幣錢包數(shù)據(jù)。

該惡意軟件利用不可見的Unicode字符（顯示為空白但可作為JavaScript執(zhí)行）實施惡意操作。

其首次現(xiàn)身時，通過微軟VS Code與OpenVSX應(yīng)用市場的12款擴(kuò)展傳播，下載量達(dá)3.58萬次。不過有觀點認(rèn)為，攻擊者人為刷高了下載數(shù)據(jù)，因此該攻擊活動的實際影響范圍尚無法確定。

針對此次安全事件，OpenVSX已為受GlassWorm入侵的部分賬號（具體數(shù)量未披露）輪換訪問令牌，實施安全強化措施，并將該事件標(biāo)記為已解決。

GlassWorm再度來襲

持續(xù)追蹤該攻擊活動的Koi Security表示，攻擊者已重返OpenVSX平臺，沿用原有基礎(chǔ)設(shè)施，但更新了命令與控制（C2）服務(wù)器端點及Solana交易信息。

隱藏的有效負(fù)載

三款攜帶GlassWorm惡意載荷的OpenVSX擴(kuò)展如下：

-ai-driven-dev.ai-driven-dev — 3400次下載

-adhamu.history-in-sublime-merge — 4000次下載

-yasuyuky.transient-emacs — 2400次下載

Koi Security指出，這三款擴(kuò)展均采用與初代惡意文件相同的不可見Unicode字符混淆技術(shù)，且該技術(shù)仍能成功繞過OpenVSX新增的防御機制。

正如Aikido此前報告所述，GlassWorm操作者并未因上月的曝光而退縮，已轉(zhuǎn)向GitHub平臺活動。此次通過新擴(kuò)展重返OpenVSX，表明其有意在多平臺恢復(fù)攻擊運營。

攻擊基礎(chǔ)設(shè)施遭曝光

借助匿名線索，Koi Security成功接入攻擊者服務(wù)器，獲取了該攻擊活動受害者的關(guān)鍵數(shù)據(jù)。檢索到的數(shù)據(jù)顯示，GlassWorm的影響范圍遍及全球，受害者系統(tǒng)分布于美國、南美洲、歐洲、亞洲，其中還包括中東地區(qū)的一個政府機構(gòu)。

關(guān)于攻擊者身份，Koi Security透露其為俄語使用者，采用RedExt開源瀏覽器擴(kuò)展C2框架開展攻擊。

來自暴露端點

研究人員已將所有獲取的數(shù)據(jù)（包括多個加密貨幣交易所及即時通訊平臺的用戶ID）提交給執(zhí)法部門，并正協(xié)調(diào)推進(jìn)受影響機構(gòu)的通知工作。

Koi Security透露，目前已確認(rèn)60名獨立受害者，同時指出此次僅從一個暴露的端點獲取了部分受害者名單。目前，這三款攜帶GlassWorm惡意載荷的擴(kuò)展仍可在OpenVSX平臺下載。

參考及來源：https://www.bleepingcomputer.com/news/security/glassworm-malware-returns-on-openvsx-with-3-new-vscode-extensions/