GlassWorm gjemte seg et år i VS Code-utvidelser før det ble slått ned

I over et år jobbet noen av utviklerne som bygger appene på telefonen din, uten å vite det for en annen. En skadevare ved navn GlassWorm satt i utvidelser til Visual Studio Code, verdens mest brukte kodeeditor, og i de åpen kildekode-pakkene disse utviklerne drar inn i prosjektene sine hver dag. Den samlet inn passordene deres, kapret kontoene deres og brukte dem til å plante seg i enda mer programvare. CrowdStrike, Google og Shadowserver Foundation har nå klippet trådene dens.

Det angår selv dem som aldri har åpnet en kodeeditor, for programvarens forsyningskjede er nettopp det, en kjede. Meldingsappen på telefonen, bankappen, spillet på konsollen hviler alle på tusenvis av små åpen kildekode-byggeklosser som andre skriver og vedlikeholder. Forgift én av de byggeklossene, og giften kan renne nedstrøms helt inn i ferdige produkter som millioner bruker. GlassWorm ble bygget for å ri på den strømmen uten å bli sett.

Det som skilte den ut, var måten å gjemme seg på. Operatørene skrev de skadelige instruksjonene med usynlige Unicode-tegn, kode som vises som tomt felt inne i editoren, slik at en utvikler som gikk gjennom fila ikke så noe galt. Forskerne hos Koi Security, som først identifiserte kampanjen, kalte den den første ormen som sprer seg selv via utvidelser til kodeeditorer. Hver infiserte maskin ble utgangspunktet for den neste.

De fleste angrep mot forsyningskjeden er raske kupp: en forgiftet pakke blir funnet, trukket tilbake og rettet i løpet av dager. GlassWorm var bygget for å vare. Fordi den selv stjal legitimasjonen den trengte for å spre seg, kunne den plante seg på nytt lenge etter at en enkelt utvidelse var fjernet, og slik nådde én operasjon hundrevis av prosjekter og titusenvis av nedlastinger gjennom mer enn et år.

Infeksjonsveiene var det helt vanlige rørleggerarbeidet i moderne programvarearbeid. Operatørene lastet opp riggede utvidelser til Open VSX, markedsplassen som mater VS Code og fetterne Cursor, Windsurf, Positron og VSCodium, forkledd som ufarlige verktøy som tidtakere eller kodeformaterere. De smuglet endret kode inn i npm-pakker og Pythons pakkeindeks via installasjonsskript som kjører av seg selv, og med legitimasjon tatt fra tidligere ofre tvang de skadelige endringer inn i hovedgrenene på over 300 GitHub-arkiver. Vel inne på en maskin jaktet GlassWorm på nøkler: npm-tokener, GitHub-innlogginger, publiseringstokenene som lar en utvikler legge ut utvidelser, og kryptolommebøker. Den gjorde infiserte datamaskiner til reléservere for annen kriminell trafikk og installerte i noen tilfeller skjult fjernstyringsprogramvare som ga operatørene et sanntidsbilde av skjermen.

Å slå den ned betydde å gå løs på måten operatørene holdt kontakt med maskinene sine på, og her var GlassWorm bygget for å overleve. I stedet for å stole på én kommandoserver som kunne trekkes ut av kontakten, brukte den fire kanaler samtidig. Én kodet instruksjonene inn i transaksjoner på blokkjeden Solana, et offentlig register tenkt å være permanent og utenfor rekkevidde. En annen gjemte konfigurasjonen i fildelingsnettet BitTorrent. En tredje puttet kodede nettadresser inn i titlene på Google Calendar-hendelser. Den fjerde var en helt vanlig leid server. CrowdStrikes Counter Adversary Operations-team kuttet sammen med Google og Shadowserver hele settet i ett samordnet slag.

Å klippe snorene er ikke det samme som å rense såret. Å kutte kanalene hindrer operatørene i å sende nye ordrer og nye nyttelaster, men fjerner ikke GlassWorm fra maskinene den allerede styrer, og hvert passord den allerede har tatt, forblir tatt. Det er heller ikke kampanjens første forstyrrelse. Etter at Koi Security avslørte den, kom GlassWorm tilbake, én gang med to dusin nye skadelige utvidelser og måneder senere med dusinvis til. Blokkjedekanalen som forskerne beskrev som umulig å slå ned, er nå slått ned, men de bak har gang på gang vist at de bygger opp igjen.

Etterforskerne tror operatørene sannsynligvis sitter i Russland. Koden sjekker datamaskinens språk- og tidssoneinnstillinger ved oppstart og avslutter seg stille hvis den havner på et system i Russland eller et naboland fra det tidligere sovjetiske området, et velkjent fingeravtrykk fra kriminelle grupper som jobber fra regionen og unngår lokale ofre. CrowdStrike oppsummerte forskyvningen rett fram: angriperne går ikke lenger bare etter produktene, de går etter utviklerne som bygger dem. Shadowserver Foundation har begynt å varsle rammede organisasjoner slik at de kan rense systemene sine og bytte hver legitimasjon som kan ha lekket, og for alle lenger ned i kjeden begynner det virkelige arbeidet nå, mens team går gjennom hvilke utvidelser og pakker de har installert siden starten av 2025. Infrastrukturen er slukket. Oppryddingen har knapt begynt.