3 extensiones de VS Code roban credenciales de GitHub, VSX y carteras de criptomonedas

Los desarrolladores tendrán que lidiar con un código malicioso inactivo que se vuelve activo en las extensiones de Visual Studio Code (VS Code), que se cree que ha comprometido a miles de usuarios robando credenciales de GitHub, Open VSX y billeteras de criptomonedas.

La Operación GlassWorm, identificada por primera vez por la firma de ciberseguridad Koi Security a finales del mes pasado, fue creada por un grupo que hackea extensiones de VS Code distribuidas a través del Registro Open VSX y el Marketplace de Visual Studio de Microsoft. Se ha informado que los actores maliciosos han estado incrustando código malicioso invisible dentro de herramientas de desarrollo que parecen legítimas.

Los investigadores de seguridad de Koi dicen que la campaña tiene como principal objetivo recopilar credenciales de desarrolladores como tokens de NPM, inicios de sesión de GitHub y credenciales de Git, para permitir la compromiso de la cadena de suministro y el robo financiero. 

Según el análisis de Koi, el mismo malware también ha objetivo 49 extensiones diferentes de billeteras de criptomonedas, drenando los fondos de los usuarios y exfiltrando datos sensibles a servidores remotos.

GlassWorm convierte las máquinas de los desarrolladores en ayuda para los criminales

Según lo informado en el artículo del blog del equipo de Koi compartido en varios subreddits, las extensiones maliciosas despliegan servidores proxy SOCKS y utilizan los sistemas de desarrollo comprometidos para construir una red proxy criminal. En paralelo, instalan servidores VNC ocultos, dando a los atacantes acceso remoto completo a las máquinas de las víctimas sin indicadores visibles.

Las credenciales robadas de GitHub y NPM ayudan a los operadores a infectar repositorios y paquetes adicionales, y permiten que GlassWorm se propague más profundamente en la cadena de suministro de software.

Open VSX confirmó que había identificado y eliminado todas las extensiones maliciosas conocidas asociadas con la campaña el 21 de octubre, también revocando y rotando los tokens comprometidos. 

Sin embargo, el nuevo informe de Koi Security indica que GlassWorm ha resurgido, utilizando una forma más avanzada de ofuscación basada en Unicode para eludir los sistemas de detección.

Según la empresa, siete extensiones fueron comprometidas nuevamente el 17 de octubre, acumulando un total combinado de 35.800 descargas. La telemetría de Koi también muestra que diez extensiones infectadas están actualmente activas y disponibles públicamente, y distribuyen malware a partir de la redacción de este informe.

“La infraestructura de comando y control del atacante sigue operando completamente. Los servidores de carga útil siguen respondiendo, y las credenciales robadas se están utilizando para comprometer nuevos paquetes.”

El malware de CodeJoy es invencible, Koi Security lo desmiente

El motor de análisis de riesgos de Koi detectó una extensión de Open VSX llamada CodeJoy después de que la versión 1.8.3 mostrara “cambios de comportamiento inusuales”. CodeJoy parece una herramienta legítima de productividad para desarrolladores con cientos de descargas, una base de código limpia y actualizaciones regulares.

“Cuando abrimos el código fuente, notamos una brecha masiva entre las líneas dos y siete”, dijeron los investigadores de Koi. “Ese no es espacio vacío, es código malicioso codificado en caracteres Unicode no imprimibles que no se renderizan en tu editor de código.”

Los atacantes utilizaron selectores de variación Unicode invencibles que hacen que la carga útil maliciosa sea invisible al ojo humano. Las herramientas de análisis estático y las revisiones manuales de código no vieron nada inusual, sin embargo, el intérprete de JavaScript ejecutó los comandos ocultos a la perfección.

Al decodificarlos, los caracteres invisibles revelaron un mecanismo de carga útil de segunda etapa, uno que los investigadores de Koi descubrieron que utiliza la blockchain de Solana como su infraestructura de comando y control (C2).

“El atacante está utilizando una blockchain pública, que es inmutable, descentralizada y resistente a la censura, como su canal de C2”, explicó Koi.

El malware escanea la red de Solana en busca de transacciones de una dirección de billetera codificada. Al encontrar una, lee el campo memo, donde se puede adjuntar texto arbitrario a las transacciones. Dentro de ese campo memo hay un objeto JSON que contiene un enlace codificado en base64 para descargar la siguiente etapa de la carga útil.

Una transacción de Solana del 15 de octubre mostrada en el análisis de Koi contenía datos que se decodificaron a una URL que aloja la ubicación activa para descargar la siguiente etapa del malware.

Un atacante puede rotar las cargas útiles publicando una nueva transacción de Solana por fracciones de centavo, actualizando todas las extensiones infectadas que consultan la blockchain en busca de nuevas instrucciones. 

Según Koi, incluso si los defensores bloquean una URL de carga útil, el atacante puede emitir otra transacción más rápido de lo que tarda en eliminarla. 

“Es como jugar al juego del topo con un número infinito de topos”, señaló un investigador de Koi.

Los miembros de Koi Security, Idan Dardikman, Yuval Ronen y Lotan Sery, confirmaron que el actor de la amenaza ha publicado nuevas transacciones de Solana con nuevos puntos finales de comando tan recientemente como esta semana.