Các nhà nghiên cứu an ninh mạng đã tiết lộ chi tiết về một cuộc tấn công chuỗi cung ứng nhắm vào Open VSX Registry, trong đó các tác nhân đe dọa không xác định đã xâm nhập tài nguyên của một nhà phát triển hợp pháp để đẩy các bản cập nhật độc hại đến người dùng cuối.
Vào ngày 30 tháng 1 năm 2026, bốn tiện ích mở rộng Open VSX đã được thiết lập, được công bố bởi tác giả oorzc, đã có các phiên bản độc hại được phát hành lên Open VSX có nhúng GlassWorm malware loader", nhà nghiên cứu bảo mật Kirill Boychenko của Socket cho biết trong một báo cáo vào thứ Bảy.
Các tiện ích mở rộng này trước đây đã được giới thiệu là các tiện ích hợp pháp dành cho nhà phát triển (một số được xuất bản lần đầu cách đây hơn hai năm) và đã tích lũy tổng cộng hơn 22.000 lượt tải xuống trên Open VSX trước khi các bản phát hành độc hại xuất hiện.
Công ty bảo mật chuỗi cung ứng cho biết cuộc tấn công chuỗi cung ứng này liên quan đến việc xâm phạm thông tin đăng nhập xuất bản của nhà phát triển, với nhóm bảo mật Open VSX đánh giá sự cố này liên quan đến việc sử dụng token bị rò rỉ hoặc quyền truy cập trái phép khác. Các phiên bản độc hại này sau đó đã bị xóa khỏi Open VSX.
Tiện ích mở rộng bị ảnh hưởng
- FTP/SFTP/SSH Sync Tool (oorzc.ssh-tools — phiên bản 0.5.1)
- I18n Tools (oorzc.i18n-tools-plus — phiên bản 1.6.8)
- vscode mindmap (oorzc.mind-map — phiên bản 1.0.61)
- scss to css (oorzc.scss-to-css-compile — phiên bản 1.3.4)
Các phiên bản bị nhiễm độc, theo ghi nhận của Socket, được thiết kế để phân phối một loader malware liên quan đến một chiến dịch đã biết có tên là GlassWorm. Loader này được trang bị khả năng giải mã và chạy mã nhúng trong thời gian chạy, sử dụng một kỹ thuật ngày càng được vũ khí hóa có tên là EtherHiding để tìm nạp các endpoint Command-and-Control (C2), và cuối cùng chạy mã được thiết kế để đánh cắp thông tin xác thực Apple macOS và dữ liệu ví tiền điện tử.
Đồng thời, mã độc chỉ được kích hoạt sau khi máy tính bị xâm nhập đã được phân tích cấu hình và xác định rằng nó không tương ứng với ngôn ngữ Nga, một mẫu hình thường thấy trong các chương trình độc hại có nguồn gốc hoặc liên quan đến các tác nhân đe dọa nói tiếng Nga để tránh bị truy tố trong nước.
Thông tin bị mã độc thu thập
- Dữ liệu từ các trình duyệt Mozilla Firefox và Chromium (thông tin đăng nhập, cookies, lịch sử internet, và các tiện ích mở rộng ví như MetaMask)
- Các tệp ví tiền điện tử (Electrum, Exodus, Atomic, Ledger Live, Trezor Suite, Binance, và TonKeeper)
- Cơ sở dữ liệu iCloud Keychain
- Cookies Safari
- Dữ liệu từ Apple Notes
- Tài liệu người dùng từ các thư mục Desktop, Documents, và Downloads
- Các tệp cấu hình FortiClient VPN
- Thông tin đăng nhập nhà phát triển (ví dụ: ~/.aws và ~/.ssh)
Việc nhắm mục tiêu vào thông tin nhà phát triển gây ra rủi ro nghiêm trọng vì nó phơi bày môi trường doanh nghiệp trước nguy cơ bị xâm nhập tài khoản đám mây và các cuộc tấn công di chuyển ngang.
"Payload bao gồm các quy trình để định vị và trích xuất vật liệu xác thực được sử dụng trong các quy trình làm việc thông thường, bao gồm kiểm tra cấu hình npm để tìm _authToken và tham chiếu các artifact xác thực GitHub, có thể cung cấp quyền truy cập vào các kho lưu trữ riêng tư, CI secrets và tự động hóa phát hành", Boychenko cho biết.
Một khía cạnh đáng kể của cuộc tấn công là nó khác biệt so với các dấu hiệu GlassWorm đã được quan sát trước đây, ở chỗ nó sử dụng một tài khoản bị xâm nhập thuộc về một nhà phát triển hợp pháp để phân phối mã độc. Trong các trường hợp trước đây, các tác nhân đe dọa đứng sau chiến dịch đã lợi dụng typosquatting và brandjacking để tải lên các tiện ích mở rộng giả mạo nhằm phát tán sau đó.
"Tác nhân đe dọa hòa mình vào quy trình làm việc bình thường của nhà phát triển, ẩn quá trình thực thi đằng sau các loader được mã hóa, giải mã trong thời gian chạy, và sử dụng Solana memos như một dead drop động để xoay vòng cơ sở hạ tầng dàn dựng mà không cần tái xuất bản tiện ích mở rộng", Socket cho biết. "Những lựa chọn thiết kế này làm giảm giá trị của các chỉ số tĩnh và chuyển lợi thế của người phòng thủ sang phát hiện hành vi và phản ứng nhanh."
