OpenVSX-maskar som stjäl kryptovaluta riktar in sig på utvecklare via skadliga tillägg

OpenVSX-maskar som stjäl kryptovaluta riktar sig aktivt mot utvecklare genom att utnyttja förtroendet för öppna marknadsplatser för tillägg. Säkerhetsforskare har upptäckt skadliga Visual Studio Code-tillägg som distribueras via Open VSX-registret och i hemlighet installerar malware med syfte att stjäla inloggningsuppgifter och kryptotillgångar. Kampanjen visar hur utvecklarmiljöer har blivit högvärdiga mål för angripare som söker långsiktig åtkomst och ekonomisk vinning.

Genom att bädda in skadlig kod i verktyg som framstår som legitima kan angripare nå tusentals system innan intrånget upptäcks.

Så fungerar OpenVSX-maskarna som stjäl kryptovaluta

Attacken inleds när en utvecklare installerar ett komprometterat tillägg från Open VSX-registret. Tilläggen fungerar som utlovat, vilket minskar misstankar. Efter installationen aktiveras dold skadlig kod i bakgrunden och etablerar uthållig närvaro på systemet.

Malwaren söker igenom enheten efter känslig information, inklusive GitHub-tokenar, npm-uppgifter, SSH-nycklar, webbläsarcookies och lagrade hemligheter. Den riktar sig även mot kryptoplånböcker genom att leta efter privata nycklar, plånbokstillägg och konfigurationsfiler kopplade till blockkedjeutveckling.

Denna kombination av utvecklaruppgifter och kryptotillgångar gör varje komprometterat system särskilt värdefullt.

Avancerade tekniker som används av skadlig kod

OpenVSX-maskarna använder fördröjd aktivering och kraftig obfuskering för att undvika upptäckt. I stället för traditionella kommando- och kontrollservrar använder malwaren ovanlig infrastruktur för att ta emot instruktioner, vilket försvårar nedstängning.

När malwaren väl är aktiv kan den uppdatera sig själv, ändra beteende och anpassa sig till olika miljöer. Detta gör det möjligt för angripare att behålla åtkomst över tid och fortsätta samla in data medan utvecklare arbetar vidare på infekterade system.

Metoden visar en tydlig förskjutning mot tysta och långlivade infektioner.

Konsekvenser för utvecklare och projekt

Komprometterade utvecklarmaskiner skapar kedjeeffekter. Stulna inloggningsuppgifter kan ge angripare åtkomst till privata kodförråd, CI/CD-pipelines och molnmiljöer. Inom blockkedjeprojekt kan läckta nycklar leda till tömda plånböcker och irreversibla ekonomiska förluster.

Eftersom utvecklare ofta har höga behörigheter kan en enda infekterad arbetsstation möjliggöra bredare attacker mot leveranskedjan. Angripare kan använda stulna tokenar för att införa skadlig kod i fler tillägg eller mjukvarupaket och därmed utöka angreppets räckvidd.

Detta gör utvecklarinriktad malware särskilt farlig.

Varför marknadsplatser för tillägg är attraktiva mål

Marknadsplatser för tillägg bygger i stor utsträckning på förtroende och automatisering. Även om många plattformar genomför säkerhetskontroller förfinar angripare kontinuerligt sina metoder för att kringgå dem. Öppna källkodsregister prioriterar ofta tillgänglighet, vilket sänker tröskeln både för legitima bidrag och för attacker.

Utvecklare installerar ofta tillägg för att öka produktiviteten utan att granska källkod eller utgivarhistorik. Detta beteende gör det möjligt för skadlig kod att spridas diskret via populära verktyg.

OpenVSX-maskarna utnyttjar denna tillitsmodell i stor skala.

Hur utvecklare kan minska risken

Utvecklare bör begränsa installation av tillägg till betrodda utgivare och regelbundet ta bort oanvända plugins. Rotation av inloggningsuppgifter, strikt åtkomstkontroll och hårdvarubaserad säkerhet för kryptoplånböcker kan minska skadorna vid ett intrång.

Övervakning av utgående nätverkstrafik och granskning av ovanligt systembeteende kan bidra till tidig upptäckt. Att separera utvecklingsmiljöer från högvärdiga plånböcker och produktionsuppgifter kan ytterligare begränsa konsekvenserna om ett system komprometteras.

Förebyggande åtgärder är avgörande i takt med att attacker mot leveranskedjor fortsätter att utvecklas.

Slutsats

Kampanjen med OpenVSX-maskar som stjäl kryptovaluta visar hur angripare i allt högre grad riktar in sig på utvecklarekosystem för att komma åt inloggningsuppgifter och kryptotillgångar i stor skala. Genom att gömma malware i betrodda tillägg kan angripare kompromettera system utan att väcka uppmärksamhet och behålla åtkomst över lång tid. När utvecklarverktyg blir allt mer sammanlänkade med känslig infrastruktur måste säkerhetsarbetet anpassas för att hantera dessa växande risker i mjukvaruleveranskedjan.