Атака по веригата за доставки GlassWorm използва фалшиви теми за VS Code за разпространение на скрит зловреден код

GlassWorm превръща инструментите за разработка в канали за разпространение на зловреден код, този път чрез разширения, рекламирани като атрактивни теми за VS Code.

Разследваният клъстер обхваща Visual Studio Marketplace и Open VSX, показвайки как промените във външния вид могат да осигурят прикритие за код, който се изпълнява на машините на разработчиците. Кампанията се появи за първи път през октомври 2025 г. и оттогава се разширява в различни платформи за разработка.

Предишни доклади за инструменти за разработка, разпространяващи GlassWorm, описват кражба на идентификационни данни и персистентен достъп — рискове, които правят компрометираните работни станции на разработчиците ценни входни врати към хранилища, облачни среди и други чувствителни ресурси.

Изследователи от Socket.dev идентифицираха четири разширения в Marketplace и шест самоличности в Open VSX, свързани с клъстера от теми.

От Socket.dev заявиха в доклад, споделен с Cyber Security News (CSN), че две разширения са потвърдени като злонамерени, като едното показва висока степен на техническа свързаност с GlassWorm.

Констатациите разграничават потвърдения зловреден код от свързани разширения без активен злонамерен код. Coca-Cola Christmas и Aurora Borealis Studio Theme имат общо над 8 000 инсталации в Marketplace.

Свързаните с клъстера обяви в Open VSX са привлекли десетки хиляди изтегляния, въпреки че тези общи суми не определят колко потребители са били компрометирани.

GlassWorm Атака по веригата за доставки

Aurora Nocturne Night Theme е скривало програма за изтегляне (downloader) за Windows в разпространявания си пакет, въпреки публичното хранилище, което изглежда е предоставяло функционалност на тема.

Неговият изпълним JavaScript е бил силно дегизиран, компресиран в приблизително 59 KB на един ред и е съдържал зловреден код, кодиран с невидими Unicode символи.

След декодиране на скритите инструкции, разширението е изтегляло контролирано от атакуващия съдържание, запазвало е временен команден скрипт за Windows и го е изпълнявало, без да показва команден прозорец.

Несъответствието между публичния изходен код и инсталирания пакет обяснява защо прегледът само на хранилището би могъл да пропусне заплахата.

Прикритието следва познат модел: по-ранни злонамерени разширения за теми на икони също са комбинирали нормално визуално поведение със скрито изпълнение на зловреден код.

В новоразследвания клъстер познатото търговско брандиране и имена, копиращи популярни теми, са помогнали на подозрителните пакети да изглеждат достоверни, преди потребителите да проверят техните издатели.

Историите в Git свързват няколко проекта чрез общи сътрудници, докато съвпадащите дефиниции на теми, повтарящите се коментари на руски език и повторно използваният код на началната страница за добре дошли засилват връзките при разработката.

Пет комита на 6 декември 2025 г. са направени в рамките на приблизително три часа и използват същото часово изместване. Socket също така идентифицира статия от 14 декември 2025 г., рекламираща няколко свързани теми като независими препоръки. Профилът за нейното публикуване е създаден същия ден.

Изследователите оценяват статията като рекламна инфраструктура за операцията, а не като несвързан преглед, въз основа на по-широките доказателства от разработката.

GlassWorm Защити

Cosmic Nebula Themes осигури връзката с GlassWorm. Анализираната нейна версия в Marketplace е декриптирала вграден JavaScript чрез AES-256-CBC криптиране и го е изпълнявала незабавно.

Възстановеният зареждащ модул (loader) е избягвал системи, съвпадащи с условия за руски език или руска часова зона, след което е справял бележки към трансакции (memos) в блокчейна на Solana, за да локализира допълнителна инфраструктура за зловредния код.

Този механизъм позволява на атакуващите да променят следващото местоположение за изтегляне, без да публикуват нова версия на разширението. Извлеченият JavaScript след това се изпълнява в паметта с достъп до системни възможности.

Споделеният блокчейн адрес, ключ за криптиране и модел на изпълнение съвпадат с по-рано документирана дейност на GlassWorm, подкрепяйки приписването от Socket с висока степен на увереност.

Въпреки това, споделените доказателства от разработката не доказват, че всеки профил на издател принадлежи на едно и също лице. Нито пък правят всяка свързана версия активно злонамерена.

Socket не откри активен злонамерен код в анализираните версии на Coca-Cola Christmas и Aurora Borealis Studio Theme, но определи тяхната ненужна изпълнима функционалност като високорискова.

Microsoft премахна докладваните разширения от Marketplace след уведомление. Защитниците трябва да инвентаризират темите и в двата регистъра и в съвместимите редактори, тъй като премахването от каталога не изчиства инсталираните копия.

По-ранните актуализации на злонамерени разширения на GlassWorm показват защо прегледите за сигурност трябва да продължат и след първоначално безвредна инсталация. Socket препоръчва проверка на пакетите, които потребителите инсталират, включително настройки за активиране, включени скриптове, мрежов достъп, стартиране на процеси и декриптиране по време на изпълнение.

Екипите трябва да сравняват версиите след актуализации и да преразглеждат оценките, когато се появят нови данни, вместо да третират публичните хранилища или еднократните прегледи като достатъчна гаранция.

Организациите, изложени на което и да е от потвърдените злонамерени разширения, трябва да разследват последващото изпълнение и потенциално компрометираните идентификационни данни.

Хост, на който се е изпълнил изтегленият команден скрипт, трябва да се третира като потенциално компрометиран. Премахването на разширение не може да отмени действията, извършени от последващия злонамерен код; индикаторите по-долу подпомагат това разследване.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно дезактивирани (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановете активния им вид само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.

Намалете разследването на всяко предупреждение в SOC с 21 минути. Захранвайте вашия SOC с незабавен контекст за IOC за бърз отговор: Интегрирайте TI Lookup във вашия SOC