GlassWorm-Malware platziert 73 schlafende Erweiterungen in OpenVSX, um Krypto-Wallets zu stehlen

Gate News-Nachricht, 28. April — Sicherheitsexperten haben 73 bösartige Erweiterungen identifiziert, die von der GlassWorm-Malware in der Registry von OpenVSX platziert wurden, wobei sechs bereits aktiviert sind, um die Krypto-Wallets und Zugangsdaten von Entwicklern zu stehlen. Die Erweiterungen wurden als gefälschte Kopien legitimer Einträge hochgeladen, wobei bösartiger Code über spätere Updates injiziert wurde.

GlassWorm tauchte erstmals im Oktober 2025 auf und nutzte unsichtbare Unicode-Zeichen, um Code zu verstecken, der auf Daten von Krypto-Wallets sowie Entwickler-Zugangsdaten abzielt. Die Kampagne hat sich seitdem über npm-Pakete, GitHub-Repositorys, den Visual Studio Code Marketplace und OpenVSX ausgebreitet. Mitte März 2026 traf eine große Welle Hunderte von Repositorys und Dutzende von Erweiterungen, was zu einem Eingreifen mehrerer Sicherheitsforschungsteams führte. Die Angreifer setzen auf eine Strategie der verzögerten Aktivierung: Zunächst werden saubere Erweiterungen verteilt, um eine Installationsbasis aufzubauen, bevor die Malware über Updates ausgeliefert wird. Socket-Forscher identifizierten drei Zustellmethoden: das Laden eines zweiten VSIX-Pakets von GitHub per CLI-Befehle, das Bereitstellen plattformspezifischer kompilierter Module wie .node-Dateien, die die zentrale bösartige Logik enthalten, und die Verwendung stark verschleierten JavaScripts, das zur Laufzeit dekodiert, um bösartige Payloads herunterzuladen und zu installieren.

Die Bedrohung geht über OpenVSX hinaus. Am 22. April hostete das npm-Registry kurzzeitig eine bösartige Version von Bitwardens CLI unter dem offiziellen Paketnamen für 93 Minuten. Das kompromittierte Paket stahl GitHub-Tokens, npm-Tokens, SSH-Keys, AWS- und Azure-Zugangsdaten sowie GitHub-Actions-Secrets. Bitwarden, das über 10 Millionen Nutzer über mehr als 50.000 Unternehmen hinweg bedient, bestätigte die Verbindung zu einer umfassenderen Kampagne, die von Checkmarx-Forschern nachverfolgt wird. Supply-Chain-Angriffe nutzen die Zeitverzögerung zwischen der Veröffentlichung eines Pakets und der Inhaltsverifikation aus; Sonatype berichtete von ungefähr 454.600 bösartigen Paketen, die 2025 Registrys verseuchten.

Socket empfiehlt Entwicklern, die irgendeine der 73 markierten OpenVSX-Erweiterungen installiert haben, alle Secrets zu rotieren und ihre Entwicklungsumgebungen zu bereinigen. Sicherheitsbeobachter verfolgen, ob die verbleibenden 67 schlafenden Erweiterungen in den kommenden Tagen aktiviert werden und ob OpenVSX strengere Prüfkontrollen für Erweiterungs-Updates implementiert.