3 امتدادات VS Code تسرق بيانات اعتماد GitHub وVSX والمحافظ المشفرة

سيضطر المطورون إلى التعامل مع كود ضار كان خادماً ثم أصبح نشطاً على امتدادات Visual Studio Code (VS Code)، والذي يُعتقد أنه خرق آلاف المستخدمين من خلال سرقة بيانات اعتماد GitHub وOpen VSX والمحافظ المشفرة.

عملية GlassWorm، التي تم تحديدها لأول مرة بواسطة شركة الأمن السيبراني Koi Security في أواخر الشهر الماضي، أنشأها مجموعة اختراق امتدادات VS Code الموزعة عبر كل من سجل Open VSX ومتجر Microsoft Visual Studio Marketplace. وبحسب التقارير، قام الفاعلون السيئون بتضمين كود ضار غير مرئي داخل أدوات المطورين التي تبدو شرعية.

يقول باحثو Koi Security إن الحملة تهدف أساساً إلى حصاد بيانات اعتماد المطورين مثل رموز NPM وتسجيلات الدخول إلى GitHub وبيانات اعتماد Git، لتمكين اختراق سلسلة التوريد والسرقة المالية. 

ووفقاً لتحليل Koi، استهدف نفس البرمجيات الخبيثة 49 امتداداً مختلفاً لمحافظ العملات المشفرة، مما أدى إلى تصريف أموال المستخدمين واستخراج البيانات الحساسة إلى خوادم عن بُعد.

يحول GlassWorm آلات المطورين إلى مساعد للمجرمين

كما أفادت مدونة فريق Koi المشاركة على عدة منتديات فرعية، تقوم الامتدادات الخبيثة بنشر خوادم بروكسي SOCKS واستخدام أنظمة المطورين المخترقة لبناء شبكة بروكسي إجرامية. بالتوازي مع ذلك، يقومون بتثبيت خوادم VNC مخفية، مما يمنح المهاجمين وصولاً كاملاً عن بُعد إلى آلات الضحايا دون مؤشرات مرئية.

تساعد بيانات اعتماد GitHub وNMS المسروقة المشغلين على إصابة مستودعات وحزم إضافية، وتسمح لـ GlassWorm بالانتشار بعمق أكبر في سلسلة توريد البرمجيات.

أكد Open VSX أنه حدد وأزال جميع الامتدادات الخبيثة المعروفة المرتبطة بالحملة في 21 أكتوبر، كما قام بإلغاء وتدوير الرموز المميزة المخترقة. 

ومع ذلك، يشير التقرير الجديد من Koi Security إلى أن GlassWorm عاد للظهور، باستخدام شكل أكثر تقدماً من التعتيم القائم على Unicode لتجاوز أنظمة الكشف.

ووفقاً للشركة، تم اختراق سبعة امتدادات مرة أخرى في 17 أكتوبر، مما جمع ما مجموعه 35,800 تحميل. كما يظهر قياس Koi أن عشرة امتدادات مصابة نشطة ومتاحة للجمهور حالياً، وتوزع البرمجيات الخبيثة منذ كتابة هذا التقرير.

"بنية التحكم والأمر الخاصة بالمهاجم لا تزال تعمل بالكامل. خوادم الحمولة لا تزال تستجيب، ويتم استخدام بيانات الاعتماد المسروقة لاختراق حزم جديدة."

برمجيات CodeJoy الخبيثة لا تقهر، Koi Security تدحض

قام محرك تحليل المخاطر التابع لـ Koi بوضع علامة على امتداد Open VSX المسمى CodeJoy بعد أن أظهر الإصدار 1.8.3 "تغييرات سلوكية غير عادية". يبدو CodeJoy كأداة إنتاجية شرعية للمطورين مع مئات التحميلات، وقاعدة نظيفة، وتحديثات منتظمة.

"عندما فتحنا الكود المصدري، لاحظنا فجوة كبيرة بين السطرين الثاني والسابع،" قال باحثو Koi. "هذا ليس فراغاً، إنه كود ضار مشفر في أحرف Unicode غير قابلة للطباعة لا تظهر في محرر الكود الخاص بك."

استخدم المهاجمون محددات تباين Unicode غير المرئية التي تجعل الحمولة الخبيثة غير مرئية للعين البشرية. لم تر أدوات التحليل الثابت والمراجعات اليدوية للكود أي شيء غير عادي، ومع ذلك نفذ مترجم JavaScript الأوامر المخفية بشكل مثالي.

عند فك تشفيرها، كشفت الأحرف غير المرئية عن آلية حمولة من المرحلة الثانية، والتي اكتشف باحثو Koi أنها تستخدم blockchain Solana كبنية تحكم وأمر (C2).

"يستخدم المهاجم blockchain عام، وهو غير قابل للتغيير، لامركزي، ومقاوم للرقابة، كقناة C2 الخاصة به،" أوضح Koi.

يبحث البرمجيات الخبيثة في شبكة Solana عن المعاملات من عنوان محفظة ثابت. عند العثور على واحدة، يقرأ حقل المذكرة، حيث يمكن إرفاق نصوص عشوائية بالمعاملات. داخل حقل المذكرة هذا يوجد كائن JSON يحتوي على رابط مشفر بـ base64 لتنزيل حمولة المرحلة التالية.

عرضت معاملة Solana من 15 أكتوبر في تحليل Koi بيانات تم فك تشفيرها إلى عنوان URL يستضيف الموقع النشط لتنزيل المرحلة التالية من البرمجيات الخبيثة.

يمكن للمهاجم تدوير الحمولات عن طريق نشر معاملة Solana جديدة لكسور من سنت واحد، محدثاً جميع الامتدادات المصابة التي تستفسر عن blockchain للحصول على تعليمات جديدة. 

وفقاً لـ Koi، حتى إذا منع المدافعون عنوان URL واحد للحمولة، يمكن للمهاجم إصدار معاملة أخرى أسرع مما يستغرقه إسقاط واحدة. 

"إنه مثل لعب لعبة الضرب على الخلد مع عدد لا نهائي من الخلد،" لاحظ باحث من Koi.

أكد أعضاء Koi Security Idan Dardikman وYuval Ronen وLotan Sery أن فاعل التهديد قد نشر معاملات Solana جديدة تحتوي على نقاط نهاية أوامر جديدة حتى هذا الأسبوع.