Шкідливе ПЗ GlassWorm розміщує 73 «сплячих» розширення в OpenVSX, щоб викрасти криптогаманці

Повідомлення Gate News, 28 квітня — дослідники безпеки виявили 73 зловмисні розширення, які шкідливе ПЗ GlassWorm розмістило в реєстрі OpenVSX; шість із них уже активовано, щоб викрасти криптовалютні гаманці та облікові дані розробників. Розширення було завантажено як підробні копії законних оголошень, а зловмисний код було впроваджено через пізніші оновлення.

GlassWorm уперше з’явився в жовтні 2025 року, використовуючи невидимі символи Unicode, щоб приховати код, який націлений на дані криптовалютних гаманців і облікові дані розробників. Відтоді кампанія поширилася на пакети npm, репозиторії GitHub, маркетплейс Visual Studio Code та OpenVSX. У середині березня 2026 року велика хвиля зачепила сотні репозиторіїв і десятки розширень, що змусило до втручання кілька груп дослідників безпеки. Атакувальники застосовують стратегію відкладеної активації: спершу розповсюджують «чисті» розширення, щоб сформувати базу встановлень, а вже потім доставляють шкідливе ПЗ через оновлення. Дослідники Socket визначили три методи доставки: завантаження другого пакета VSIX з GitHub через команди CLI, розгортання платформозалежних скомпільованих модулів на кшталт файлів .node, що містять ключову шкідливу логіку, а також використання сильно обфускованого JavaScript, який у час виконання декодується, щоб завантажити та встановити зловмисні корисні навантаження.

Загроза виходить за межі OpenVSX. 22 квітня реєстр npm короткочасно розмістив зловмисну версію CLI Bitwarden під офіційною назвою пакета протягом 93 хвилин. Скомпрометований пакет викрав токени GitHub, токени npm, SSH-ключі, облікові дані AWS та Azure, а також секрети GitHub Actions. Bitwarden, який обслуговує понад 10 мільйонів користувачів у більш ніж 50 000 компаній, підтвердив зв’язок із ширшою кампанією, яку відстежують дослідники Checkmarx. Атаки на ланцюжок постачання використовують часовий розрив між публікацією пакета та перевіркою вмісту; Sonatype повідомила приблизно про 454 600 зловмисних пакетів, що заражали реєстри у 2025 році.

Socket рекомендує розробникам, які встановили будь-які з 73 позначених розширень OpenVSX, ротацію всіх секретів і очищення своїх середовищ розробки. Спостерігачі з безпеки стежать за тим, чи активуються в найближчі дні решта 67 «сплячих» розширень, а також чи впровадить OpenVSX суворіші контрольні процедури для оновлень розширень.