Glassworm kötü amaçlı yazılımı, kötü amaçlı VS Code paketlerinin üçüncü dalgasında geri dönüyor

İlk olarak Ekim ayında OpenVSX ve Microsoft Visual Studio pazaryerlerinde ortaya çıkan Glassworm kampanyası, iki platforma eklenen 24 yeni paketle artık üçüncü dalgasında.

OpenVSX ve Microsoft Visual Studio Marketplace, geliştiriciler tarafından dil desteği, çerçeveler, araçlar, temalar ve diğer üretkenlik eklentilerini yüklemek için kullanılan, VS Code uyumlu düzenleyicilere yönelik uzantı depolarıdır.

Microsoft pazarı, Visual Studio Code’un resmi platformudur; OpenVSX ise Microsoft’un özel mağazasını kullanamayan veya kullanamayan editörler tarafından kullanılan açık, satıcıdan bağımsız bir alternatiftir.

İlk kez 20 Ekim’de Koi Security tarafından belgelenen Glassworm, kodunu incelemeden gizlemek için “görünmez Unicode karakterleri” kullanan bir kötü amaçlı yazılımdır.

Geliştiriciler bunu ortamlarına yükledikten sonra GitHub, npm ve OpenVSX hesaplarının yanı sıra 49 uzantıdan kripto para cüzdanı verilerini çalmaya çalışıyor.

Üstelik kötü amaçlı yazılım, kötü amaçlı trafiği kurbanın makinesi üzerinden yönlendirmek için bir SOCKS proxy’si dağıtıyor ve operatörlere gizli uzaktan erişim sağlamak için HVNC istemcisini kuruyor.

Her ne kadar ilk bulaşma uzantı depolarından temizlenmiş olsa da, kötü amaçlı yazılım kısa bir süre sonra yeni uzantılar ve yayıncı hesaplarıyla her iki siteye de geri döndü.

Bundan önce Open VSX, platformun tehlikeye atılmış erişim tokenlarını döndürmesiyle olayın tamamen kontrol altına alındığını açıklamıştı.

Glassworm’un yeniden ortaya çıkışı, Secure Annex’in araştırmacısı John Tuckner tarafından keşfedildi ve paket adlarının Flutter, Vim, Yaml, Tailwind, Svelte, React Native ve Vue gibi popüler araçları ve geliştirici çerçevelerini kapsayan geniş bir hedefleme kapsamına işaret ettiğini bildirdi.

Secure Annex artık üçüncü dalganın aşağıda listelenen paketleri kullandığını tespit etti.

VS Pazaryeri

1. iconkieftwo.icon-tema-malzeme
2. prisma-inc.prisma-stüdyo-yardım
3. daha güzel-vsc.vsce-daha güzel
4. flutcode.flutter-uzantısı
5. csvmech.csvrainbow
6. codevsce.codelddb-vscode
7. saoudrizvsce.claude-devsce
8. clangdcode.clangd-vsce
9. cweijamysq.sync-settings-vscode
10. bphpburnsus.iconesvscode
11. klustfix.cluster-kodu-doğrulama
12. vims-vsce.vscode-vim
13. yamlcode.yaml-vscode-uzantısı
14. solblanco. parlak vsce
15. vsceue.fly-vscode
16. redmat.vscode-quarkus-pro
17. msjsdreact.react-yerel-vsce

VSX’i açın

1. bphpburn.icons-vscode
2. tailwind-nuxt.tailwindcss-for-tepki
3. flutcode.flutter-uzantısı
4. yamlcode.yaml-vscode-uzantısı
5. saoudrizvsce.claude-dev
6. saoudrizvsce.claude-devsce
7. vitalik.solidity

Paketler pazarlarda kabul edildikten sonra, yayıncılar kötü amaçlı kodu içeren bir güncelleme yayınlıyor ve ardından indirme sayılarını şişirerek bunların meşru ve güvenilir görünmesini sağlıyor.

Ayrıca, indirme sayılarını yapay olarak artırmak, arama sonuçlarını manipüle edebilir; kötü amaçlı uzantı, sonuçlarda daha üst sıralarda görünür ve genellikle kimliğine büründüğü meşru projelere çok yakındır.

Araştırmacı, Glassworm’un teknik açıdan da geliştiğini ve artık uzantıların içinde paketlenmiş Rust bazlı implantlar kullandığını bildiriyor. Görünmez Unicode numarası da bazı durumlarda hala kullanılıyor.

BleepingComputer, Glassworm’un savunmalarını aşma yeteneğinin devam etmesiyle ilgili olarak hem OpenVSX hem de Microsoft ile iletişime geçti ve bu gönderiyi, onların yanıtlarıyla güncelleyeceğiz.