Glassworm-Malware kehrt durch neue bösartige VSCode-Erweiterungen zurück

glassworm-Malware ist wieder im Umlauf, nachdem Sicherheitsforscher drei neue bösartige VSCode-Erweiterungen auf dem OpenVSX-Marktplatz entdeckt haben. Diese Uploads aktivierten dieselben Bedrohungsakteure erneut, die zuvor schädliche Erweiterungen verbreitet hatten, bevor diese entfernt wurden. Die neue Kampagne nutzt aktualisierte Techniken, stärkere Persistenz und unauffälligere Exfiltrationsmethoden, was neue Bedenken hinsichtlich der Sicherheit offener Entwicklungsökosysteme hervorruft.

Angreifer kehren mit drei neuen Erweiterungen zurück

Forscher fanden die bösartigen Erweiterungen unter den Namen „aspnet helper“, „csharp theme“ und „black formatter.“ Alle drei wurden vom Konto „devgossy“ hochgeladen. Die Erweiterungen wirkten auf den ersten Blick legitim, enthielten jedoch versteckte Skripte, die sofort nach der Installation ausgeführt wurden.

Jede Erweiterung versuchte, Daten vom Entwicklerrechner zu stehlen, darunter Umgebungsinformationen, Workspace-Daten, Konfigurationsdateien und Authentifizierungsmaterial. Einige Versionen kontaktieren externe Server, um zusätzliche Befehle abzurufen. Dieses Verhalten entspricht früherer GlassWorm-Aktivität, über die du im vorherigen Entdeckungszyklus berichtet hast.

Wie die Erweiterungen funktionierten

Die bösartigen Erweiterungen wurden mit obfuskiertem JavaScript ausgeliefert. Nach der Installation starteten sie Hintergrundprozesse, die sekundäre Payloads herunterluden. Diese Payloads versuchten, Verzeichnisse zu kartieren, sensible Dateien auszulesen und Metadaten über aktive Projekte zu sammeln.

Die Erweiterungen erzeugten außerdem Persistenz, indem sie Skripte in der VSCode-Umgebung des Nutzers platzierten. Diese Technik erlaubte es der Malware, sich selbst nach Löschversuchen erneut zu starten. Die Angreifer nutzten vertrauenswürdige Erweiterungsmechanismen wie Aktivierungshooks und Post-Install-Trigger, wodurch ihre Handlungen im normalen Entwicklungsworkflow verborgen blieben.

Warum diese Bedrohung bestehen bleibt

Offene Marktplätze für Erweiterungen sind nach wie vor ein Hauptziel für Angreifer. Entwickler installieren Tools schnell und prüfen den Code oft nicht im Detail. Bedrohungsakteure nutzen dieses Verhalten aus, indem sie Erweiterungen veröffentlichen, die nützlich, aktuell oder auf beliebte Technologien ausgerichtet wirken.

glassworm-Malware nutzt diesen Vorteil effektiv. Die vorige Kampagne zeigte, wie leicht Angreifer schädliche Pakete in Community-Repositories platzieren können. Diese neue Welle zeigt, dass Entfernung allein das Problem nicht löst, wenn Angreifer weiterhin neue Konten erstellen und aktualisierte Erweiterungen veröffentlichen.

Auswirkungen auf das Entwicklerökosystem

Diese bösartigen Erweiterungen bergen erhebliche Risiken für einzelne Entwickler und große Organisationen. Angreifer können Projektdaten, Tokens, Abhängigkeitsinformationen und interne Architekturdateien stehlen. Diese Daten ermöglichen Folgeangriffe, Lieferkettenkompromittierungen und gezielte Phishing-Angriffe auf Entwicklerteams.

Die Bedrohung trifft Teams besonders hart, die sich auf automatisierte Build-Pipelines verlassen. Gestohlene Konfigurationsdateien oder offengelegte Umgebungsvariablen können tiefere Angriffe in vernetzten Diensten ermöglichen.

Reaktion des Marktplatzes

OpenVSX entfernte die drei Erweiterungen kurz nach der Meldung. Entwickler wurden aufgefordert, installierte Erweiterungen zu überprüfen und Protokolle auf verdächtige Aktivitäten zu kontrollieren. Teams, die die Erweiterungen möglicherweise genutzt haben, sollten Anmeldedaten rotieren, aktuelle Projektänderungen prüfen und sicherstellen, dass keine unerlaubten Skripte in ihren VSCode-Profilen verbleiben.

Fazit

glassworm-Malware ist erneut aufgetaucht, diesmal mit neuen VSCode-Erweiterungen, die legitime Tools imitieren und gleichzeitig sensible Daten stehlen sowie Persistenz in Entwicklerumgebungen schaffen. Dieser Angriff zeigt anhaltende Schwachstellen in Erweiterungsmarktplätzen und verdeutlicht, wie leicht bösartige Akteure das Vertrauen in offene Softwareökosysteme ausnutzen. Entwickler und Organisationen müssen strengere Überprüfungsprozesse für Erweiterungen einführen, Abhängigkeitsrichtlinien durchsetzen und kontinuierliche Überwachung betreiben, um sich vor zukünftigen Angriffswellen zu schützen.