上月曾入侵OpenVSX與Visual Studio Code應(yīng)用市場的GlassWorm惡意軟件攻擊活動再度回歸，此次新增三款攜帶惡意載荷的VSCode擴(kuò)展，累計(jì)下載量已超1萬次。

GlassWorm是一套惡意軟件攻擊體系，通過Solana區(qū)塊鏈交易獲取惡意載荷，攻擊目標(biāo)包括GitHub、NPM、OpenVSX平臺的賬號憑證，以及49款擴(kuò)展程序中的加密貨幣錢包數(shù)據(jù)。

該惡意軟件利用不可見的Unicode字符（顯示為空白但可作為JavaScript執(zhí)行）實(shí)施惡意操作。

其首次現(xiàn)身時(shí)，通過微軟VS Code與OpenVSX應(yīng)用市場的12款擴(kuò)展傳播，下載量達(dá)3.58萬次。不過有觀點(diǎn)認(rèn)為，攻擊者人為刷高了下載數(shù)據(jù)，因此該攻擊活動的實(shí)際影響范圍尚無法確定。

針對此次安全事件，OpenVSX已為受GlassWorm入侵的部分賬號（具體數(shù)量未披露）輪換訪問令牌，實(shí)施安全強(qiáng)化措施，并將該事件標(biāo)記為已解決。

GlassWorm再度來襲

持續(xù)追蹤該攻擊活動的Koi Security表示，攻擊者已重返OpenVSX平臺，沿用原有基礎(chǔ)設(shè)施，但更新了命令與控制（C2）服務(wù)器端點(diǎn)及Solana交易信息。

隱藏的有效負(fù)載

三款攜帶GlassWorm惡意載荷的OpenVSX擴(kuò)展如下：

-ai-driven-dev.ai-driven-dev — 3400次下載

-adhamu.history-in-sublime-merge — 4000次下載

-yasuyuky.transient-emacs — 2400次下載

Koi Security指出，這三款擴(kuò)展均采用與初代惡意文件相同的不可見Unicode字符混淆技術(shù)，且該技術(shù)仍能成功繞過OpenVSX新增的防御機(jī)制。

正如Aikido此前報(bào)告所述，GlassWorm操作者并未因上月的曝光而退縮，已轉(zhuǎn)向GitHub平臺活動。此次通過新擴(kuò)展重返OpenVSX，表明其有意在多平臺恢復(fù)攻擊運(yùn)營。

攻擊基礎(chǔ)設(shè)施遭曝光

借助匿名線索，Koi Security成功接入攻擊者服務(wù)器，獲取了該攻擊活動受害者的關(guān)鍵數(shù)據(jù)。檢索到的數(shù)據(jù)顯示，GlassWorm的影響范圍遍及全球，受害者系統(tǒng)分布于美國、南美洲、歐洲、亞洲，其中還包括中東地區(qū)的一個(gè)政府機(jī)構(gòu)。

關(guān)于攻擊者身份，Koi Security透露其為俄語使用者，采用RedExt開源瀏覽器擴(kuò)展C2框架開展攻擊。

來自暴露端點(diǎn)

研究人員已將所有獲取的數(shù)據(jù)（包括多個(gè)加密貨幣交易所及即時(shí)通訊平臺的用戶ID）提交給執(zhí)法部門，并正協(xié)調(diào)推進(jìn)受影響機(jī)構(gòu)的通知工作。

Koi Security透露，目前已確認(rèn)60名獨(dú)立受害者，同時(shí)指出此次僅從一個(gè)暴露的端點(diǎn)獲取了部分受害者名單。目前，這三款攜帶GlassWorm惡意載荷的擴(kuò)展仍可在OpenVSX平臺下載。

參考及來源：https://www.bleepingcomputer.com/news/security/glassworm-malware-returns-on-openvsx-with-3-new-vscode-extensions/