Сообщество разработчиков программного обеспечения стало целью для сложного самораспространяющегося червя под названием GlassWorm. Вредоносная программа распространяется через зараженные расширения Visual Studio Code (VS Code), используя для управления блокчейн Solana и скрывая свой код с помощью невидимых символов. Конечная цель атаки — массовая кража учетных данных, финансовое мошенничество и превращение компьютеров разработчиков в прокси-сеть для преступной деятельности.
Исследователи по кибербезопасности из компании Koi Security установили, что GlassWorm является атакой на цепочку поставок, нацеленной на пространство DevOps. В качестве основного вектора атаки используются скомпрометированные расширения на платформах Open VSX Registry и Microsoft Extension Marketplace. Ключевой особенностью кампании является использование блокчейна Solana для размещения командных серверов (C2), что делает инфраструктуру злоумышленников крайне устойчивой к блокировкам. В качестве резервного механизма управления используется Google Calendar.
Для маскировки вредоносного кода злоумышленники применяют «невидимые символы Unicode" (селекторы вариантов), что делает его практически невидимым в редакторах кода. Червь обладает функцией самораспространения: он похищает учетные данные для npm, Open VSX, GitHub и Git, а затем использует их для компрометации новых пакетов и расширений, автономно распространяясь по экосистеме. Механизм автоматического обновления расширений в VS Code значительно усиливает атаку, доставляя вредоносный код пользователям без их участия.
Цели злоумышленников многогранны и включают полный захват скомпрометированных систем. Они нацелены на кражу средств из 49 различных расширений криптовалютных кошельков, развертывание прокси-серверов SOCKS для использования зараженных машин в других преступных операциях, а также установку скрытых серверов VNC (HVNC) для получения полного удаленного контроля над устройством.
Первая волна заражений была зафиксирована 17 октября 2025 года. Общее количество загрузок инфицированных расширений составило приблизительно 35 800. Всего было выявлено 14 зараженных расширений: 13 на платформе Open VSX Registry и одно в Microsoft Extension Marketplace.
Список зараженных расширений на Open VSX Registry включает:
На площадке Microsoft Extension Marketplace было обнаружено одно скомпрометированное расширение:
Технически атака начинается с того, что вредоносный код ищет в блокчейне Solana транзакцию, контролируемую злоумышленниками. Из поля memo этой транзакции извлекается строка в формате Base64, которая декодируется в IP-адрес командного сервера:
Этот модуль крадет данные и отправляет их на удаленный сервер
Модуль "Zombi", написанный на JavaScript, превращает первичное заражение в полную компрометацию системы. Он разворачивает SOCKS-прокси, модули WebRTC для пиринговой связи, использует распределенную хэш-таблицу (DHT) протокола BitTorrent для децентрализованной доставки команд и устанавливает HVNC для удаленного управления.
«Это не единичная атака на цепочку поставок. Это червь, созданный для распространения по экосистеме разработчиков со скоростью лесного пожара», — говорится в техническом отчете эксперта Идана Дардикмана.
Данная кампания стала второй крупной атакой на цепочку поставок в сфере DevOps за месяц. Ей предшествовала атака червя Shai-Hulud, нацеленного на экосистему npm в середине сентября 2025 года. Использование блокчейна для размещения вредоносных нагрузок является растущей тенденцией, которую также применяют государственные хакерские группы, в частности из Северной Кореи, для шпионажа и финансово мотивированных атак.
Изображение носит иллюстративный характер
Исследователи по кибербезопасности из компании Koi Security установили, что GlassWorm является атакой на цепочку поставок, нацеленной на пространство DevOps. В качестве основного вектора атаки используются скомпрометированные расширения на платформах Open VSX Registry и Microsoft Extension Marketplace. Ключевой особенностью кампании является использование блокчейна Solana для размещения командных серверов (C2), что делает инфраструктуру злоумышленников крайне устойчивой к блокировкам. В качестве резервного механизма управления используется Google Calendar.
Для маскировки вредоносного кода злоумышленники применяют «невидимые символы Unicode" (селекторы вариантов), что делает его практически невидимым в редакторах кода. Червь обладает функцией самораспространения: он похищает учетные данные для npm, Open VSX, GitHub и Git, а затем использует их для компрометации новых пакетов и расширений, автономно распространяясь по экосистеме. Механизм автоматического обновления расширений в VS Code значительно усиливает атаку, доставляя вредоносный код пользователям без их участия.
Цели злоумышленников многогранны и включают полный захват скомпрометированных систем. Они нацелены на кражу средств из 49 различных расширений криптовалютных кошельков, развертывание прокси-серверов SOCKS для использования зараженных машин в других преступных операциях, а также установку скрытых серверов VNC (HVNC) для получения полного удаленного контроля над устройством.
Первая волна заражений была зафиксирована 17 октября 2025 года. Общее количество загрузок инфицированных расширений составило приблизительно 35 800. Всего было выявлено 14 зараженных расширений: 13 на платформе Open VSX Registry и одно в Microsoft Extension Marketplace.
Список зараженных расширений на Open VSX Registry включает:
codejoy.codejoy-vscode-extension (версии 1.8.3 и 1.8.4) l-igh-t.vscode-theme-seti-folder (версия 1.2.3) kleinesfilmroellchen.serenity-dsl-syntaxhighlight (версия 0.3.2) JScearcy.rust-doc-viewer (версия 4.2.1) SIRILMP.dark-theme-sm (версия 3.11.4) CodeInKlingon.git-worktree-menu (версии 1.0.9 и 1.0.91) ginfuru.better-nunjucks (версия 0.3.2) ellacrity.recoil (версия 0.7.4) grrrck.positron-plus-1-e (версия 0.0.71) jeronimoekerdt.color-picker-universal (версия 2.8.91) srcery-colors.srcery-colors (версия 0.3.9) sissel.shopify-liquid (версия 4.0.1) TretinV3.forts-api-extention (версия 0.3.1) На площадке Microsoft Extension Marketplace было обнаружено одно скомпрометированное расширение:
cline-ai-main.cline-ai-agent (версия 3.1.3). Технически атака начинается с того, что вредоносный код ищет в блокчейне Solana транзакцию, контролируемую злоумышленниками. Из поля memo этой транзакции извлекается строка в формате Base64, которая декодируется в IP-адрес командного сервера:
217.69.3[.]218 или 199.247.10[.]166. После подключения к серверу загружается полезная нагрузка следующего этапа — инфостилер. Этот модуль крадет данные и отправляет их на удаленный сервер
140.82.52[.]31:80. Затем он обращается к событию в Google Calendar, где находит еще одну закодированную строку Base64. Ее расшифровка указывает на местоположение финального модуля под кодовым названием "Zombi". Модуль "Zombi", написанный на JavaScript, превращает первичное заражение в полную компрометацию системы. Он разворачивает SOCKS-прокси, модули WebRTC для пиринговой связи, использует распределенную хэш-таблицу (DHT) протокола BitTorrent для децентрализованной доставки команд и устанавливает HVNC для удаленного управления.
«Это не единичная атака на цепочку поставок. Это червь, созданный для распространения по экосистеме разработчиков со скоростью лесного пожара», — говорится в техническом отчете эксперта Идана Дардикмана.
Данная кампания стала второй крупной атакой на цепочку поставок в сфере DevOps за месяц. Ей предшествовала атака червя Shai-Hulud, нацеленного на экосистему npm в середине сентября 2025 года. Использование блокчейна для размещения вредоносных нагрузок является растущей тенденцией, которую также применяют государственные хакерские группы, в частности из Северной Кореи, для шпионажа и финансово мотивированных атак.
