بازگشت GlassWorm با ۲۴ افزونه مخرب که خود را به جای ابزارهای محبوب توسعه‌دهندگان جا می‌زنند

کمپین زنجیره تأمین بدافزاری به نام GlassWorm بار دیگر ظاهر شده و با نفوذ به Microsoft Visual Studio Marketplace و Open VSX، ۲۴ افزونه جعلی را منتشر کرده است که خود را به جای ابزارهای محبوب توسعه‌دهندگان مانند Flutter، React، Tailwind، Vim و Vue جا می‌زنند. این بدافزار که نخستین بار در اکتبر ۲۰۲۵ شناسایی شد، از بلاکچین سولانا برای فرمان و کنترل (C2) استفاده می‌کند و اعتبارنامه‌های npm، Open VSX، GitHub و Git را سرقت کرده، دارایی‌های رمزارزی را از کیف‌پول‌ها تخلیه می‌کند و دستگاه‌های توسعه‌دهندگان را به گره‌های تحت کنترل مهاجمان تبدیل می‌کند. جنبه حیاتی این کمپین، سوءاستفاده از اعتبارنامه‌های سرقت‌شده برای به خطر انداختن بسته‌ها و افزونه‌های بیشتر است که باعث انتشار کرم‌مانند بدافزار می‌شود.

در جدیدترین موج حملات که توسط جان تاکنر از Secure Annex کشف شد، مهاجمان با افزایش مصنوعی تعداد دانلودها، افزونه‌های جعلی را قابل اعتماد جلوه داده و آنها را در نتایج جستجو در کنار پروژه‌های اصلی قرار می‌دهند تا توسعه‌دهندگان را فریب دهند. نسخه جدید از ایمپلنت‌های مبتنی بر Rust استفاده می‌کند که قادر به هدف قرار دادن سیستم‌های ویندوز و macOS هستند و برای دریافت آدرس سرور C2 از آدرس کیف‌پول بلاکچین سولانا و به عنوان پشتیبان از رویدادهای Google Calendar استفاده می‌کنند. تاکنر هشدار داد: “به ندرت یک مهاجم بیش از ۲۰ افزونه مخرب را در یک هفته در محبوب‌ترین مارکت‌پلیس‌ها منتشر می‌کند و بسیاری از توسعه‌دهندگان می‌توانند به راحتی فریب این افزونه‌ها را بخورند.”