GlassWorm-macOS-attack utnyttjar komprometterade OpenVSX-tillägg

En nyligen identifierad GlassWorm-macOS-attack utnyttjar komprometterade tillägg som distribueras via OpenVSX-marknadsplatsen. Kampanjen riktar sig mot utvecklare genom att missbruka betrodda verktyg och injicera skadlig kod i annars legitima tillägg, vilket förvandlar ett vanligt utvecklingsflöde till ett leveranskedjehot.

Attacken belyser en växande trend inom skadlig kod-distribution. I stället för att förlita sig på nätfiskeutskick eller direkta nedladdningar riktar hotaktörer i allt högre grad in sig på mjukvaruekosystem som utvecklare redan litar på.

Hur GlassWorm-attacken fungerar

Attacken inleddes efter att en hotaktör tog kontroll över ett legitimt OpenVSX-utgivar­konto. Med den åtkomsten släppte angriparen skadliga uppdateringar för flera populära tillägg som redan hade tusentals installationer.

När en utvecklare installerar eller uppdaterar ett av de komprometterade tilläggen körs dold kod i bakgrunden. Skadlig kod förblir vilande tills den bekräftar att systemet kör macOS, varpå ytterligare nyttolaster aktiveras.

Denna selektiva körning hjälper skadlig kod att undvika upptäckt och begränsar exponeringen till avsedda mål.

Vad skadlig kod riktar in sig på

Efter aktivering fokuserar GlassWorm-macOS-attacken på att samla in känsliga data. Skadlig kod genomsöker webbläsare efter sparade inloggningsuppgifter, cookies och sessionsdata. Den letar även efter filer kopplade till kryptoplånböcker och webbläsarbaserade plånbokstillägg.

Utvecklarrelaterade tillgångar är ett huvudmål. Skadlig kod söker efter SSH-nycklar, molnåtkkomst­token och konfigurationsfiler som kan ge angripare möjlighet att utöka åtkomsten bortom det initiala systemet.

Insamlad data mellanlagras lokalt innan den förbereds för exfiltrering.

Leveranskedjemissbruk via OpenVSX

Händelsen visar hur leveranskedjeattacker fortsätter att utvecklas. Genom att kompromettera ett befintligt utgivar­konto slapp angriparna skapa misstänkta nya tillägg.

Utvecklare som installerade rutinmässiga uppdateringar hade liten anledning att misstänka skadlig aktivitet. Attacken utnyttjade förtroende som byggts upp över tid, vilket är en av de mest effektiva taktikerna i moderna skadlig-kod-kampanjer.

Användningen av krypterad kod som dekrypteras först vid körning försvårar dessutom upptäckt av säkerhetsverktyg.

Varför macOS-utvecklare är måltavlor

GlassWorm-macOS-attacken speglar ett bredare skifte mot att rikta in sig på macOS-miljöer. Utvecklare använder i allt större utsträckning macOS för mjukvaruutveckling, molninfrastruktur och kryptoprojekt.

Dessa system lagrar ofta värdefulla autentiseringsuppgifter och privata nycklar, vilket gör dem attraktiva mål. När en utvecklarmaskin komprometteras kan den ge åtkomst till kodarkiv, infrastruktur och digitala tillgångar.

Vad utvecklare bör göra nu

Utvecklare bör omedelbart granska installerade OpenVSX-tillägg och ta bort sådana som nyligen uppdaterats utan tydlig motivering. Att begränsa tilläggsanvändning till nödvändiga verktyg minskar exponeringen.

Organisationer bör även begränsa installation av tillägg, införa tillåtelselistor och övervaka utvecklarsystem för ovanlig nätverksaktivitet. Att skydda autentiseringsuppgifter med hårdvarubaserad säkerhet och rotera nycklar kan minska långsiktig risk.

Slutsats

GlassWorm-macOS-attacken visar hur angripare utnyttjar betrodda utvecklingsplattformar för att leverera skadlig kod genom leveranskedjemissbruk. Genom att kapa legitima OpenVSX-tillägg kringgick kampanjen traditionella försvar och riktade in sig på högvärdiga utvecklarmiljöer. I takt med att leveranskedjehot fortsätter att växa måste utvecklare och organisationer behandla tilläggsekosystem med samma försiktighet som alla andra programvarukällor.