Sicherheitsforscher von Koi Security haben einen selbst-propagierenden Wurm namens GlassWorm entdeckt, der VS-Code-Erweiterungen auf dem OpenVSX-Marktplatz kompromittiert und bereits aktive Infektionen verteilt. (koi.ai)
Die Malware versteckt ausführbaren JavaScript-Code mit unsichtbaren Unicode-Zeichen, sodass Code-Reviews und viele statische Scanner den Schadcode nicht bemerken.
Als Kommando- und Steuerinfrastruktur nutzt GlassWorm eine Kombination aus Solana-Blockchain-Transaktionen (immutable Memo-Felder) und einem Google-Calendar-Event als Backup-C2, plus direkte Payload-URLs — eine schwer zu unterbindende, dezentrale Steuerkette.
Die Nutzlasten enthalten Credential-Stealer und einen Remote-Access-Trojaner (ZOMBI), der NPM/Git/GitHub/OpenVSX-Tokens stiehlt, Entwicklermaschinen zu SOCKS-Proxies macht und versteckte VNC/HVNC-Zugänge einrichtet.
Koi meldet, dass am 17. Oktober mehrere OpenVSX-Extensions kompromittiert wurden und die Gesamtzahl der betroffenen Installationen sich in den Zehntausenden bewegt; weitere befallene Erweiterungen wurden auch im offiziellen VS-Code-Marketplace gefunden.
Organisationen und Entwickler sollten sofort prüfen, ob sie betroffene Extensions installiert haben, Tokens/Keys rotieren und lokale Erkennungsmaßnahmen für versteckte Unicode-Zeichen sowie Netzwerk-Anomalien einsetzen.
