GlassWorm-macOS-angreb udnytter kompromitterede OpenVSX-udvidelser

Et nyligt identificeret GlassWorm-macOS-angreb udnytter kompromitterede udvidelser, der distribueres via OpenVSX-markedspladsen. Kampagnen retter sig mod udviklere ved at misbruge betroede værktøjer og injicere ondsindet kode i ellers legitime udvidelser, hvilket forvandler en almindelig udviklingsarbejdsgang til et forsyningskædeangreb.

Angrebet fremhæver en voksende tendens inden for malwaredistribution. I stedet for at basere sig på phishing-mails eller direkte downloads retter trusselsaktører i stigende grad angreb mod softwareøkosystemer, som udviklere allerede har tillid til.

Hvordan GlassWorm-angrebet fungerer

Angrebet begyndte, efter at en trusselsaktør fik kontrol over en legitim OpenVSX-udgiverkonto. Med denne adgang udgav angriberen ondsindede opdateringer til flere populære udvidelser, som allerede havde tusindvis af installationer.

Når en udvikler installerer eller opdaterer en af de kompromitterede udvidelser, køres skjult kode i baggrunden. Malwaren forbliver inaktiv, indtil den bekræfter, at systemet kører macOS, hvorefter yderligere payloads aktiveres.

Denne selektive aktivering hjælper malwaren med at undgå opdagelse og begrænser eksponeringen til de tiltænkte mål.

Hvad malwaren retter sig mod

Efter aktivering fokuserer GlassWorm-macOS-angrebet på at indsamle følsomme data. Malwaren scanner browsere for gemte loginoplysninger, cookies og sessionsdata. Den leder også efter filer relateret til kryptotegnebøger og browserbaserede tegnebogsudvidelser.

Udviklerrelaterede aktiver er et centralt mål. Malwaren søger efter SSH-nøgler, cloud-adgangstokens og konfigurationsfiler, som kan give angribere mulighed for at udvide adgangen ud over det oprindelige system.

Indsamlede data lagres midlertidigt lokalt, før de forberedes til eksfiltration.

Misbrug af forsyningskæden via OpenVSX

Hændelsen demonstrerer, hvordan forsyningskædeangreb fortsætter med at udvikle sig. Ved at kompromittere en eksisterende udgiverkonto undgik angriberne behovet for at oprette mistænkelige nye udvidelser.

Udviklere, der installerede rutinemæssige opdateringer, havde ringe grund til at mistænke ondsindet aktivitet. Angrebet udnyttede tillid opbygget over tid, hvilket er en af de mest effektive taktikker i moderne malwarekampagner.

Brugen af krypteret kode, som først dekrypteres under kørsel, komplicerer yderligere detektionen for sikkerhedsværktøjer.

Hvorfor macOS-udviklere er mål

GlassWorm-macOS-angrebet afspejler et bredere skifte mod at målrette macOS-miljøer. Udviklere anvender i stigende grad macOS til softwareudvikling, arbejde med cloud-infrastruktur og kryptoprojekter.

Disse systemer opbevarer ofte værdifulde legitimationsoplysninger og private nøgler, hvilket gør dem til attraktive mål. Når én udviklermaskine kompromitteres, kan den give adgang til repositories, infrastruktur og digitale aktiver.

Hvad udviklere bør gøre nu

Udviklere bør straks gennemgå installerede OpenVSX-udvidelser og fjerne dem, der for nylig er blevet opdateret uden tydelig begrundelse. At begrænse brugen af udvidelser til nødvendige værktøjer reducerer eksponeringen.

Organisationer bør også begrænse installation af udvidelser, håndhæve tilladelseslister og overvåge udviklersystemer for usædvanlig netværksaktivitet. Beskyttelse af legitimationsoplysninger med hardwarebaseret sikkerhed og regelmæssig nøglerotation kan reducere langsigtet risiko.

Konklusion

GlassWorm-macOS-angrebet viser, hvordan angribere udnytter betroede udviklingsplatforme til at levere malware gennem misbrug af forsyningskæden. Ved at kapre legitime OpenVSX-udvidelser omgår kampagnen traditionelle forsvar og retter sig mod højværdimiljøer hos udviklere. I takt med at forsyningskædeangreb fortsætter med at vokse, må udviklere og organisationer behandle udvidelsesøkosystemer med samme forsigtighed som enhver anden softwarekilde.