Chiến dịch chuỗi cung ứng mang tên GlassWorm một lần nữa xuất hiện, xâm nhập cả Microsoft Visual Studio Marketplace và Open VSX với 24 tiện ích mở rộng mạo danh các công cụ và framework phát triển phổ biến như Flutter, React, Tailwind, Vim và Vue.
GlassWorm lần đầu được ghi nhận vào tháng 10 năm 2025, mô tả chi tiết việc sử dụng blockchain Solana cho hoạt động command-and-control (C2) và thu thập thông tin đăng nhập npm, Open VSX, GitHub, Git, rút tài sản tiền điện tử từ hàng chục ví, và biến các máy tính của nhà phát triển thành các node do kẻ tấn công kiểm soát cho các hoạt động tội phạm khác.
Điểm mấu chốt nhất của chiến dịch là việc lạm dụng thông tin đăng nhập bị đánh cắp để xâm phạm các gói và tiện ích mở rộng bổ sung, qua đó lây lan phần mềm độc hại như một worm. Bất chấp những nỗ lực liên tục của Microsoft và Open VSX, phần mềm độc hại này đã xuất hiện trở lại lần thứ hai vào tháng trước, và những kẻ tấn công được ghi nhận đang nhắm mục tiêu vào các kho lưu trữ GitHub.
Làn sóng mới nhất của chiến dịch GlassWorm, được John Tuckner của Secure Annex phát hiện, bao gồm tổng cộng 24 tiện ích mở rộng trải rộng trên cả hai kho lưu trữ. Danh sách các tiện ích mở rộng được xác định như sau -
Tiện ích mở rộng độc hại
VS Code Marketplace:
- iconkieftwo.icon-theme-materiall
- prisma-inc.prisma-studio-assistance (đã bị gỡ kể từ ngày 1 tháng 12 năm 2025)
- prettier-vsc.vsce-prettier
- flutcode.flutter-extension
- csvmech.csvrainbow
- codevsce.codelddb-vscode
- saoudrizvsce.claude-devsce
- clangdcode.clangd-vsce
- cweijamysq.sync-settings-vscode
- bphpburnsus.iconesvscode
- klustfix.kluster-code-verify
- vims-vsce.vscode-vim
- yamlcode.yaml-vscode-extension
- solblanco.svetle-vsce
- vsceue.volar-vscode
- redmat.vscode-quarkus-pro
- msjsdreact.react-native-vsce
Open VSX:
- bphpburn.icons-vscode
- tailwind-nuxt.tailwindcss-for-react
- flutcode.flutter-extension
- yamlcode.yaml-vscode-extension
- saoudrizvsce.claude-dev
- saoudrizvsce.claude-devsce
- vitalik.solidity
Những kẻ tấn công đã được phát hiện làm tăng giả tạo số lượt tải xuống để các tiện ích mở rộng trông đáng tin cậy và khiến chúng xuất hiện nổi bật trong kết quả tìm kiếm, thường ở rất gần với các dự án thực mà chúng mạo danh để lừa các nhà phát triển cài đặt chúng.
"Một khi tiện ích mở rộng được phê duyệt ban đầu, kẻ tấn công dường như có thể dễ dàng cập nhật code với một phiên bản độc hại mới và dễ dàng vượt qua các bộ lọc," Tuckner cho biết. "Nhiều tiện ích mở rộng code bắt đầu với ngữ cảnh 'activate', và code độc hại được chèn vào ngay sau khi kích hoạt xảy ra."
Phiên bản mới, mặc dù vẫn dựa vào thủ thuật Unicode ẩn, được đặc trưng bởi việc sử dụng các implant dựa trên Rust được đóng gói bên trong các tiện ích mở rộng. Trong một phân tích về tiện ích mở rộng "icon-theme-materiall", Nextron Systems cho biết nó đi kèm với hai implant Rust có khả năng nhắm mục tiêu vào các hệ thống Windows và macOS -
- Một Windows DLL tên os.node
- Một macOS dynamic library tên darwin.node
Như đã quan sát trong các lần lây nhiễm GlassWorm trước đây, các implant được thiết kế để tìm nạp chi tiết máy chủ C2 từ một địa chỉ ví blockchain Solana và sử dụng nó để tải xuống payload giai đoạn tiếp theo, một tệp JavaScript được mã hóa. Như một phương án dự phòng, chúng có thể phân tích một sự kiện Google Calendar để tìm nạp địa chỉ C2.
"Hiếm khi một kẻ tấn công phát hành hơn 20 tiện ích mở rộng độc hại trên cả hai thị trường phổ biến nhất trong một tuần," Tuckner cho biết. "Nhiều nhà phát triển có thể dễ dàng bị lừa bởi các tiện ích mở rộng này và chỉ cách một cú nhấp chuột là bị xâm nhập."
