3 VS Code-Erweiterungen, die Anmeldeinformationen für GitHub, VSX und Krypto-Wallets stehlen
- Das Cybersicherheitsunternehmen Koi Security deckt eine neue Welle der GlassWorm-Kampagne auf, die Malware in unsichtbarem Unicode-Code innerhalb von VS Code-Erweiterungen versteckt.
- Die Maldiebstähle GitHub-, Open-VSX- und Krypto-Wallet-Anmeldeinformationen, verwandelt Entwicklermaschinen in Proxy-Infrastruktur und verbreitet sich über Lieferketten.
- GlassWorm nutzt die Solana-Blockchain als Command-and-Control-System, was den Betrieb dezentralisiert, widerstandsfähig macht und ihn nahezu unmöglich zum Stillstand bringt.
Entwickler müssen sich mit einem schlafenden, nun aktiven bösartigen Code in Visual Studio Code (VS Code)-Erweiterungen auseinandersetzen, der Tausende von Nutzern kompromittiert haben soll, indem er Anmeldeinformationen für GitHub, Open VSX und Kryptowährungs-Wallets stiehlt.
Operation GlassWorm, die Ende letzten Monats erstmals von der Cybersicherheitsfirma Koi Security identifiziert wurde, wurde von einer Gruppe erstellt, die VS Code-Erweiterungen vertreibt, die sowohl über die Open VSX Registry als auch über Microsofts Visual Studio Marketplace verteilt werden. Die bösen Akteure haben Berichten zufolge unsichtbaren schädlichen Code in scheinbar legitimen Entwickler-Tools eingebettet.
Koi-Sicherheitsforscher sagen, die Kampagne diene hauptsächlich dem Sammeln von Entwickleranmeldeinformationen wie NPM-Tokens, GitHub-Logins und Git-Anmeldeinformationen, um Lieferkettenkompromittierungen und finanziellen Diebstahl zu ermöglichen.
Laut Kois Analyse hat dieselbe Malware auch 49 verschiedene Krypto-Wallet-Erweiterungen angegriffen, Benutzerfonds geleert und sensible Daten auf Remote-Servern exfiltriert.
GlassWorm verwandelt Entwicklermaschinen in Helfers der Kriminellen
Wie im Team-Blog-Artikel von Koi berichtet, der auf mehreren Subreddits geteilt wurde, deployen die schädlichen Erweiterungen SOCKS-Proxy-Server und nutzen die kompromittierten Entwickler-Systeme, um ein kriminelles Proxy-Netzwerk aufzubauen. Parallel dazu installieren sie versteckte VNC-Server, die Angreifern vollen Fernzugriff auf Opfermaschinen ohne sichtbare Indikatoren geben.
Gestohlene GitHub- und NPM-Anmeldeinformationen helfen den Betreibern, weitere Repositories und Pakete zu infizieren, und ermöglichen es GlassWorm, tiefer in die Software-Lieferkette vorzudringen.
Open VSX bestätigte, dass es am 21. Oktober alle bekannten bösartigen Erweiterungen im Zusammenhang mit der Kampagne identifiziert und entfernt sowie kompromittierte Tokens widerrufen und rotiert hat.
Kois neuer Bericht deutet jedoch darauf hin, dass GlassWorm wieder aufgetaucht ist und eine fortgeschrittenere Form der Unicode-basierten Verschleierung einsetzt, um Erkennungssysteme zu umgehen.
Laut dem Unternehmen wurden sieben Erweiterungen am 17. Oktober erneut kompromittiert, wobei sich die Gesamtzahl der Downloads auf 35.800 belief. Kois Telemetrie zeigt auch, dass derzeit zehn infizierte Erweiterungen aktiv und öffentlich verfügbar sind und zum Zeitpunkt dieser Veröffentlichung Malware verteilen.
„Die Command-and-Control-Infrastruktur des Angreifers ist voll funktionsfähig. Die Payload-Server antworten weiterhin, und gestohlene Anmeldeinformationen werden verwendet, um neue Pakete zu kompromittieren.“
CodeJoy-Malware ist unbesiegbar, Koi Security widerlegt
Kois Risikoanalyse-Engine markierte eine Open VSX-Erweiterung namens CodeJoy, nachdem Version 1.8.3 „ungewöhnliche Verhaltensänderungen“ zeigte. CodeJoy sieht aus wie ein legitimes Entwicklerproduktivitätstool mit Hunderten von Downloads, einem sauberen Codebase und regelmäßigen Updates.
„Als wir den Quellcode öffneten, bemerkten wir eine massive Lücke zwischen Zeile zwei und sieben“, sagten Koi-Forscher. „Das ist kein leerer Raum, es ist bösartiger Code, der in nicht druckbaren Unicode-Zeichen kodiert ist, die in Ihrem Code-Editor nicht gerendert werden.“
Die Angreifer verwendeten unsichtbare Unicode-Variationsselektoren, die die bösartige Payload für das menschliche Auge unsichtbar machen. Statische Analyse-Tools und manuelle Codeüberprüfungen sahen nichts Ungewöhnliches, doch der JavaScript-Interpreter führte die versteckten Befehle einwandfrei aus.
Bei der Dekodierung der unsichtbaren Zeichen wurde ein Mechanismus für eine Payload der zweiten Stufe offengelegt, den Koi-Forscher entdeckten, der die Solana-Blockchain als seine Command-and-Control-(C2)-Infrastruktur nutzt.
„Der Angreifer nutzt eine öffentliche Blockchain, die unveränderlich, dezentral und zensurresistent ist, als seinen C2-Kanal“, erklärte Koi.
Die Malware scannt das Solana-Netzwerk nach Transaktionen von einer fest codierten Wallet-Adresse. Sobald eine gefunden wird, liest sie das Memo-Feld, dem beliebiger Text angehängt werden kann. In diesem Memo-Feld befindet sich ein JSON-Objekt, das einen base64-kodierten Link zum Herunterladen der Payload der nächsten Stufe enthält.
Eine Solana-Transaktion vom 15. Oktober, die in Kois Analyse angezeigt wurde, enthielt Daten, die zu einer URL dekodiert wurden, die den aktiven Standort für das Herunterladen der nächsten Stufe der Malware hostet.
Ein Angreifer kann Payloads rotieren, indem er eine neue Solana-Transaktion für Bruchteile eines Cents postet und alle infizierten Erweiterungen aktualisiert, die die Blockchain nach neuen Anweisungen abfragen.
Laut Koi kann der Angreifer, selbst wenn Verteidiger eine Payload-URL blockieren, eine weitere Transaktion schneller ausgeben, als es dauert, eine davon zu stoppen.
„Es ist, als würde man Whack-a-Mole mit unendlich vielen Maulwürfen spielen“, bemerkte ein Koi-Forscher.
Koi-Security-Mitglieder Idan Dardikman, Yuval Ronen und Lotan Sery bestätigten, dass der Bedrohungsakteur so spät wie diese Woche frische Solana-Transaktionen mit neuen Command-Endpunkten veröffentlicht hat.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
