Вредоносная программа GlassWorm возвращается через 73 «спящих» расширения OpenVSX.

[zender]

Новая волна кампании Glassworm нацелена на экосистему OpenVSX с помощью 73 «скрытых» расширений, которые становятся вредоносными после обновления.


Шесть из этих расширений активировались и распространяют вредоносное ПО, в то время как исследователи с высокой степенью уверенности считают, что остальные находятся в спящем режиме или, по крайней мере, вызывают подозрения.


При первоначальной загрузке расширения кажутся безобидными, но на более позднем этапе доставляют вредоносный код, раскрывая истинные намерения злоумышленника.

«Это число может измениться по мере появления новых обновлений, но закономерность соответствует предыдущим волнам GlassWorm», — говорят исследователи из компании Socket, занимающейся безопасностью приложений.


GlassWorm — это продолжающаяся кампания по атакам на цепочку поставок, впервые обнаруженная в октябре . Первоначально она использует невидимые символы Unicode для сокрытия вредоносного кода, который крадет криптовалютные кошельки и учетные данные разработчиков.

С тех пор оно распространилось по множеству экосистем, включая репозитории GitHub, пакеты npm, а также Visual Studio Code Marketplace и OpenVSX . Также было замечено, что они нацелены на пользователей macOS, используя троянизированные клиенты для криптовалютных кошельков .


Недавняя волна атак в середине марта 2026 года продемонстрировала значительные масштабы, затронув сотни репозиториев и десятки расширений.




Однако операции такого масштаба могут сопровождаться шумом и оставлять многочисленные следы, поскольку несколько различных исследовательских групп обнаружили активность на ранней стадии и помогли ее заблокировать.


Последняя волна атак указывает на то, что злоумышленники намерены изменить свою стратегию, размещая безобидные расширения в рамках одной экосистемы и внедряя вредоносную нагрузку в последующем обновлении, а не встраивая её в сами расширения.


Компания Socket обнаружила , что 73 расширения, участвовавшие в последней кампании GlassWorm, являются клонами легитимных объявлений, призванными обмануть разработчиков, которые не обращают особого внимания ни на что, кроме визуального оформления.


В одном случае злоумышленник использовал ту же иконку, что и легитимное расширение, а также схожее название и описание. Хотя есть незначительные различия, главными индикаторами являются название издателя и уникальный идентификатор.


Вместо переноса вредоносного ПО, расширения теперь выступают в роли тонких загрузчиков, которые загружают его одним из следующих способов:

• Расширение во время выполнения загружает дополнительный VSIX-пакет с GitHub и устанавливает его с помощью команд командной строки.
• Расширения загружают специфичные для платформы скомпилированные модули (.node-файлы), содержащие основную логику, включая загрузку дополнительных данных и выполнение процедур установки во всех поддерживаемых редакторах.
• Некоторые варианты полностью полагаются на сильно обфусцированный JavaScript, который декодируется во время выполнения для загрузки и установки вредоносных расширений, иногда включая зашифрованные или резервные URL-адреса для получения полезной нагрузки.

Компания Socket не предоставила технических подробностей о новой полезной нагрузке. Ранее подобные атаки были направлены на кражу данных криптовалютных кошельков, учетных данных, токенов доступа, SSH-ключей и данных среды разработки.

Компания, занимающаяся кибербезопасностью, опубликовала полный список из 73 расширений, предположительно входящих в последнюю волну GlassWorm. Разработчикам, установившим любое из них, рекомендуется ротировать все секретные ключи и очистить свою среду.