OpenVSX-ormer som stjeler kryptovaluta retter seg mot utviklere via ondsinnede utvidelser

OpenVSX-ormer som stjeler kryptovaluta retter seg aktivt mot utviklere ved å misbruke tilliten til åpne markedsplasser for utvidelser. Sikkerhetsforskere har avdekket ondsinnede Visual Studio Code-utvidelser distribuert via Open VSX-registeret, som i det skjulte installerer skadevare utviklet for å stjele legitimasjon og kryptoeiendeler. Kampanjen viser hvordan utviklermiljøer har blitt høyverdige mål for angripere som søker langsiktig tilgang og økonomisk gevinst.

Ved å bygge skadevare inn i verktøy som fremstår som legitime, kan angripere nå tusenvis av systemer før aktiviteten oppdages.

Hvordan OpenVSX-ormene som stjeler kryptovaluta fungerer

Angrepet starter når en utvikler installerer en kompromittert utvidelse fra Open VSX-registeret. Utvidelsene fungerer som annonsert, noe som reduserer mistanke. Etter installasjonen aktiveres skjult skadevare i bakgrunnen og etablerer vedvarende tilgang på systemet.

Skadevaren skanner enheten etter sensitiv informasjon, inkludert GitHub-tokens, npm-legitimasjon, SSH-nøkler, nettleserinformasjonskapsler og lagrede hemmeligheter. Den retter seg også mot kryptolommebøker ved å lete etter private nøkler, wallet-utvidelser og konfigurasjonsfiler knyttet til blokkjedeutviklingsmiljøer.

Denne kombinasjonen av utviklerlegitimasjon og kryptoeiendeler øker verdien av hvert kompromitterte system betydelig.

Avanserte teknikker brukt av skadevaren

OpenVSX-ormene benytter forsinket aktivering og kraftig obfuskering for å unngå oppdagelse. I stedet for å kommunisere med tradisjonelle kommando- og kontrollservere bruker skadevaren uvanlig infrastruktur for å motta instruksjoner, noe som gjør nedstenging vanskeligere.

Når skadevaren er aktiv, kan den oppdatere seg selv, endre atferd og tilpasse seg ulike miljøer. Disse egenskapene gjør det mulig for angripere å opprettholde tilgang over tid og hente ut nye data mens utviklere fortsetter arbeidet på infiserte maskiner.

Denne tilnærmingen viser en tydelig dreining mot diskrete og langvarige infeksjoner.

Konsekvenser for utviklere og prosjekter

Kompromitterte utviklermaskiner skaper omfattende ringvirkninger. Stjålet legitimasjon kan gi angripere tilgang til private kodebaser, CI/CD-pipelines og skymiljøer. I blokkjedeprosjekter kan lekkede nøkler føre direkte til tømte lommebøker og irreversible økonomiske tap.

Siden utviklere ofte har høye rettigheter, kan én infisert arbeidsstasjon muliggjøre bredere kompromittering av leverandørkjeden. Angripere kan bruke stjålne tokens til å injisere ondsinnet kode i flere utvidelser eller programvarepakker, noe som utvider angrepets omfang langt utover de opprinnelige ofrene.

Dette gjør skadevare rettet mot utviklere spesielt farlig.

Hvorfor markedsplasser for utvidelser er attraktive mål

Markedsplasser for utvidelser er i stor grad basert på tillit og automatisering. Selv om mange plattformer gjennomfører sikkerhetsskanninger, forbedrer angripere kontinuerlig teknikkene sine for å omgå kontrollene. Åpne kildekoderegistre prioriterer ofte tilgjengelighet, noe som reduserer terskelen både for legitime bidragsytere og angripere.

Utviklere installerer ofte utvidelser for å øke produktiviteten uten å vurdere kildekode eller publiseringshistorikk. Denne praksisen gir skadevare mulighet til å spre seg stille gjennom mye brukte verktøy.

OpenVSX-ormene utnytter denne tillitsmodellen i stor skala.

Hvordan utviklere kan redusere risiko

Utviklere bør begrense installasjonen av utvidelser til betrodde utgivere og regelmessig fjerne ubrukte plugins. Rotasjon av legitimasjon, strenge tilgangskontroller og maskinvarebasert sikring av kryptolommebøker kan redusere skadeomfanget ved et kompromiss.

Overvåking av utgående nettverkstrafikk og gjennomgang av systematferd for uvanlige mønstre kan bidra til tidlig oppdagelse. Å separere utviklingsmiljøer fra høyverdige lommebøker og produksjonslegitimasjon kan ytterligere begrense konsekvensene dersom et system kompromitteres.

Forebyggende tiltak er avgjørende ettersom angrep mot leverandørkjeder fortsetter å utvikle seg.

Konklusjon

Kampanjen med OpenVSX-ormer som stjeler kryptovaluta viser hvordan angripere i økende grad retter seg mot utviklerøkosystemer for å stjele legitimasjon og kryptoeiendeler i stor skala. Ved å skjule skadevare i betrodde utvidelser kan angripere kompromittere systemer uten å vekke oppmerksomhet og opprettholde langsiktig tilgang. Etter hvert som utviklerverktøy blir tettere integrert med sensitiv infrastruktur, må sikkerhetspraksis tilpasses for å håndtere disse voksende risikoene i programvareleverandørkjeden.