GlassWorm-macOS-angrep utnytter kompromitterte OpenVSX-utvidelser

Et nylig identifisert GlassWorm-macOS-angrep utnytter kompromitterte utvidelser distribuert via OpenVSX-markedsplassen. Kampanjen retter seg mot utviklere ved å misbruke betrodde verktøy og injisere ondsinnet kode i ellers legitime utvidelser, noe som gjør en vanlig utviklingsarbeidsflyt til et leverandørkjedeangrep.

Angrepet fremhever en voksende trend innen distribusjon av skadevare. I stedet for å basere seg på phishing-e-poster eller direkte nedlastinger, retter trusselaktører i økende grad angrepene mot programvareøkosystemer som utviklere allerede stoler på.

Hvordan GlassWorm-angrepet fungerer

Angrepet startet etter at en trusselaktør fikk kontroll over en legitim OpenVSX-utgiverkonto. Med denne tilgangen publiserte angriperen ondsinnede oppdateringer til flere populære utvidelser som allerede hadde tusenvis av installasjoner.

Når en utvikler installerer eller oppdaterer en av de kompromitterte utvidelsene, kjøres skjult kode i bakgrunnen. Skadevaren forblir inaktiv til den bekrefter at systemet kjører macOS, før den aktiverer ytterligere nyttelaster.

Denne selektive aktiveringen hjelper skadevaren med å unngå oppdagelse og begrenser eksponeringen til de tiltenkte målene.

Hva skadevaren retter seg mot

Etter aktivering fokuserer GlassWorm-macOS-angrepet på å samle inn sensitiv informasjon. Skadevaren skanner nettlesere etter lagrede påloggingsopplysninger, informasjonskapsler og sesjonsdata. Den ser også etter filer knyttet til kryptolommebøker og nettleserbaserte lommebokutvidelser.

Utviklerrelaterte ressurser er et hovedmål. Skadevaren leter etter SSH-nøkler, skytilgangstoken og konfigurasjonsfiler som kan gi angriperne mulighet til å utvide tilgangen utover det opprinnelige systemet.

Innsamlede data lagres midlertidig lokalt før de klargjøres for eksfiltrering.

Misbruk av leverandørkjeden via OpenVSX

Hendelsen viser hvordan leverandørkjedeangrep fortsetter å utvikle seg. Ved å kompromittere en eksisterende utgiverkonto slapp angriperne å opprette mistenkelige nye utvidelser.

Utviklere som installerte rutinemessige oppdateringer hadde liten grunn til å mistenke ondsinnet aktivitet. Angrepet utnyttet tillit som var bygget opp over tid, noe som er en av de mest effektive taktikkene i moderne skadevarekampanjer.

Bruken av kryptert kode som dekrypteres først ved kjøring gjør det dessuten vanskeligere for sikkerhetsverktøy å oppdage trusselen.

Hvorfor macOS-utviklere er mål

GlassWorm-macOS-angrepet gjenspeiler et bredere skifte mot å målrette macOS-miljøer. Utviklere bruker i økende grad macOS til programvareutvikling, arbeid med skyinfrastruktur og kryptoprosjekter.

Disse systemene lagrer ofte verdifulle legitimasjoner og private nøkler, noe som gjør dem attraktive mål. Når én utviklermaskin kompromitteres, kan den gi tilgang til kodearkiver, infrastruktur og digitale eiendeler.

Hva utviklere bør gjøre nå

Utviklere bør umiddelbart gjennomgå installerte OpenVSX-utvidelser og fjerne dem som nylig er oppdatert uten tydelig begrunnelse. Å begrense bruken av utvidelser til nødvendige verktøy reduserer eksponeringen.

Organisasjoner bør også begrense installasjon av utvidelser, håndheve tillatelseslister og overvåke utviklersystemer for uvanlig nettverksaktivitet. Beskyttelse av legitimasjoner med maskinvarebasert sikkerhet og regelmessig nøkkelrotasjon kan redusere langsiktig risiko.

Konklusjon

GlassWorm-macOS-angrepet viser hvordan angripere utnytter betrodde utviklingsplattformer til å levere skadevare gjennom leverandørkjedemisbruk. Ved å kapre legitime OpenVSX-utvidelser omgår kampanjen tradisjonelle forsvar og retter seg mot høyverdige utviklermiljøer. Etter hvert som leverandørkjedeangrep fortsetter å øke, må utviklere og organisasjoner behandle utvidelsesøkosystemer med samme forsiktighet som alle andre programvarekilder.