بدافزار Glassworm در موج سوم بسته‌های مخرب VS Code بازمی‌گردد

کمپین بدافزار Glassworm که برای اولین بار در اکتبر در بازارهای OpenVSX و Microsoft Visual Studio ظاهر شد، اکنون وارد موج سوم خود شده و ۲۴ بسته جدید به این دو پلتفرم اضافه کرده است. این بدافزار که از “کاراکترهای یونیکد نامرئی” برای پنهان کردن کد خود استفاده می‌کند، پس از نصب توسط توسعه‌دهندگان، اقدام به سرقت اکانت‌های GitHub، npm و OpenVSX و همچنین داده‌های کیف پول رمزارز از ۴۹ افزونه می‌کند. علاوه بر این، بدافزار یک پروکسی SOCKS مستقر می‌کند تا ترافیک مخرب را از طریق دستگاه قربانی هدایت کند و کلاینت HVNC نصب می‌کند تا به اپراتورها دسترسی از راه دور مخفیانه بدهد.

محقق Secure Annex، جان تاکنر، کشف کرده که موج سوم این حمله از بسته‌هایی استفاده می‌کند که نام‌هایشان نشان‌دهنده هدف‌گیری گسترده ابزارهای محبوب و فریمورک‌های توسعه‌دهندگان مانند Flutter، Vim، Yaml، Tailwind، Svelte، React Native و Vue است. پس از پذیرش بسته‌ها در بازارها، ناشران به‌روزرسانی‌ای ارسال می‌کنند که کد مخرب را معرفی می‌کند، سپس تعداد دانلودهای خود را تقلبی افزایش می‌دهند تا مشروع و قابل اعتماد به نظر برسند. Glassworm از نظر فنی نیز تکامل یافته و اکنون از ایمپلنت‌های مبتنی بر Rust که درون افزونه‌ها بسته‌بندی شده‌اند، استفاده می‌کند.