بدافزار GlassWorm از Dead Dropهای سولانا برای توزیع RAT و سرقت داده‌های مرورگر و ارز دیجیتال استفاده می‌کند

محققان امنیت سایبری یک تکامل جدید از کمپین بدافزاری «گلس‌ورم» (GlassWorm) را شناسایی کرده‌اند که یک چارچوب چندمرحله‌ای برای سرقت جامع داده‌ها و نصب یک تروجان دسترسی از راه دور (RAT) به کار می‌گیرد. این بدافزار از طریق بسته‌های مخرب در پلتفرم‌های npm، PyPI، GitHub و Open VSX منتشر می‌شود و شامل یک افزونه مرورگر کروم است که خود را به‌عنوان نسخه آفلاین Google Docs جا می‌زند. این افزونه کلیدهای فشرده‌شده را ثبت، کوکی‌ها و توکن‌های نشست را استخراج، و اسکرین‌شات می‌گیرد؛ در حالی که دستورات خود را از یک سرور فرمان‌ودهی (C2) پنهان‌شده در بلاک‌چین سولانا (Solana) دریافت می‌کند. این کمپین از آلوده کردن سیستم‌های با تنظیمات زبانی روسی پرهیز می‌کند.

بخش خطرناک این حمله شامل یک باینری دات‌نت (.NET) است که با استفاده از زیرساخت WMI، اتصال کیف‌پول‌های سخت‌افزاری لجر (Ledger) و ترزور (Trezor) را شناسایی کرده و پنجره‌های فیشینگ جعلی برای سرقت عبارت بازیابی ۲۴ کلمه‌ای نمایش می‌دهد. همچنین RAT مبتنی بر وب‌سوکت قادر است داده‌های مرورگرهای مختلف از جمله کروم، فایرفاکس و اج را سرقت کند و حفاظت رمزنگاری مرتبط با برنامه (ABE) کروم را دور بزند. شرکت لهستانی AFINE ابزار متن‌باز «glassworm-hunter» را برای اسکن سیستم‌های توسعه‌دهندگان منتشر کرده است. محققان به توسعه‌دهندگان توصیه می‌کنند در نصب افزونه‌های Open VSX، بسته‌های npm و سرورهای MCP احتیاط کنند.