GlassWorm, eine bekannte Schadsoftware, hat 73 schädliche Erweiterungen in die OpenVSX-Registry eingeschleust. Hacker nutzen sie, um Krypto-Wallets und andere Daten von Entwicklern zu stehlen.
Sicherheitsforscher haben festgestellt, dass sechs Erweiterungen bereits zu Schadsoftware geworden sind. Die Erweiterungen wurden als gefälschte Kopien bekannter, harmloser Einträge hochgeladen. Laut einem Bericht von Socket.com gelangte der Schadcode mit einem späteren Update in die Datenbank.
GlassWorm-Malware greift Krypto-Entwickler an
Im Oktober 2025 tauchte GlassWorm erstmals auf. Es nutzte unsichtbare Unicode-Zeichen, um Code zu verbergen, der darauf abzielte, Daten von Krypto-Wallets unddentvon Entwicklern zu stehlen. Die Kampagne hat sich seitdem auf npm-Pakete, GitHub-Repositories, den Visual Studio Code Marketplace und OpenVSX ausgebreitet.
Mitte März 2026 traf eine Angriffswelle Hunderte von Repositories und Dutzende von Erweiterungen, deren Ausmaß jedoch die Aufmerksamkeit auf sich zog. Mehrere Forschungsgruppen bemerkten die Aktivität frühzeitig und halfen, sie zu stoppen.
Die Angreifer scheinen ihre Vorgehensweise geändert zu haben. Die neueste Version bettet die Schadsoftware nicht sofort ein, sondern nutzt ein verzögertes Aktivierungsmodell. Sie sendet eine saubere Erweiterung, baut eine Installationsbasis auf und liefert dann ein schädliches Update.
„Geklonte oder nachgeahmte Erweiterungen werden zunächst ohne offensichtliche Nutzlast veröffentlicht und später aktualisiert, um Schadsoftware zu verbreiten“, so.
Sicherheitsforscher haben drei Wege gefunden, den Schadcode über die 73 Erweiterungen einzuschleusen. Eine Möglichkeit besteht darin, während der Programmausführung ein zweites VSIX-Paket von GitHub zu verwenden und es über Befehlszeilenbefehle zu installieren. Eine andere Methode lädt plattformspezifische, kompilierte Module wie [.]node-Dateien, die die Kernlogik enthalten, einschließlich Routinen zum Abrufen weiterer Schadcode-Komponenten.
Eine dritte Methode verwendet stark verschleiertes JavaScript, das zur Laufzeit dekodiert wird, um schädliche Erweiterungen herunterzuladen und zu installieren. Zudem werden verschlüsselte oder alternative URLs verwendet, um die Schadsoftware abzurufen.
Die Erweiterungen sehen echten Angeboten sehr ähnlich.
In einem Fall kopierte der Angreifer das Symbol der Originalerweiterung und gab ihr einen nahezu identischen Namen und eine identische Beschreibung. Herausgebername und eindeutigedentunterscheiden die Erweiterungen normalerweise, doch die meisten Entwickler achten vor der Installation nicht genau darauf.
GlassWorm wurde entwickelt, um Zugriffstoken, Daten von Krypto-Wallets, SSH-Schlüssel und Informationen über die Entwicklerumgebung aufzuspüren.
Krypto-Wallets sind ständig Hackerangriffen ausgesetzt
Die Bedrohung beschränkt sich nicht nur auf Krypto-Wallets. Ein anderer, aber verwandter Vorfalldent , wie sich Lieferkettenangriffe über die Infrastruktur von Entwicklern ausbreiten können.
Am 22. April war eine manipulierte Version der Bitwarden-CLI 93 Minuten lang unter dem offiziellen Paketnamen @bitwarden/[email protected]. Das Sicherheitsunternehmen JFrog stellte fest, dass die Schadsoftware GitHub-Tokens, npm-Tokens, SSH-Schlüssel, AWS- und Azure-dentsowie GitHub-Actions-Geheimnisse gestohlen hatte.
Die Analyse von JFrog ergab, dass das gehackte Paket den Installations-Hook und den Binär-Einstiegspunkt so veränderte, dass die Bun-Laufzeitumgebung geladen und eine verschleierte Nutzlast sowohl während der Installation als auch während der Ausführung ausgeführt werden konnte.
Laut eigenen Angaben betreut Bitwarden über 50.000 Unternehmen und 10 Millionen Nutzer. Socket brachte den Angriff mit einer größeren Kampagne in Verbindung, die von Checkmarx-Forschern tracwurde, und Bitwarden bestätigte diesen Zusammenhang.
Das Problem liegt in der Funktionsweise von npm und anderen Paketregistrierungsdiensten. Angreifer nutzen die Zeitspanne zwischen der Veröffentlichung eines Pakets und der Überprüfung seines Inhalts aus.
Sonatype entdeckte im Jahr 2025 etwa 454.600 neue Schadsoftwarepakete, die Registries infizieren. Bedrohungsakteure, die sich Zugang zu Krypto-Verwahrung, DeFiund Token-Launchpads verschaffen wollen, haben damit begonnen, Registries ins Visier zu nehmen und schädliche Workflows zu veröffentlichen.
Für Entwickler, die eine der 73 markierten OpenVSX-Erweiterungen installiert haben, empfiehlt Socket, alle Geheimnisse zu rotieren und ihre Entwicklungsumgebungen zu bereinigen.
Als nächstes gilt es zu beobachten, ob die verbleibenden 67 inaktiven Erweiterungen in den kommenden Tagen aktiviert werden und ob OpenVSX zusätzliche Überprüfungsmechanismen für Erweiterungsaktualisierungen implementiert.
