3 extensions VS Code volant les identifiants pour GitHub, VSX et les portefeuilles crypto
- La société de cybersécurité Koi Security découvre une nouvelle vague de la campagne GlassWorm, qui dissimule des malwares dans du code Unicode invisible au sein d'extensions VS Code.
- Le malware vole les identifiants GitHub, Open VSX et des portefeuilles crypto, transformant les machines des développeurs en infrastructure proxy et se propageant via les chaînes d'approvisionnement.
- GlassWorm utilise la blockchain Solana comme système de commande et de contrôle, rendant l'opération décentralisée, résiliente et quasi impossible à éradiquer.
Les développeurs devront faire face à un code malveillant endormi devenu actif sur les extensions Visual Studio Code (VS Code), qui aurait compromis des milliers d’utilisateurs en volant les identifiants de GitHub, Open VSX et les portefeuilles de cryptomonnaies.
L’opération GlassWorm, identifiée pour la première fois par le cabinet de cybersécurité Koi Security fin du mois dernier, a été créée par un groupe piratant des extensions VS Code distribuées via le registre Open VSX et le Microsoft Visual Studio Marketplace. Les acteurs malveillants auraient intégré du code malveillant invisible au sein d’outils de développement ayant l’apparence légitime.
Les chercheurs de Koi Security indiquent que la campagne vise principalement à récolter les identifiants des développeurs comme les jetons NPM, les connexions GitHub et les identifiants Git, afin de permettre la compromission de la chaîne d’approvisionnement et le vol financier.
Selon l’analyse de Koi, le même malware a également ciblé 49 extensions de portefeuilles de cryptomonnaies différentes, vidant les fonds des utilisateurs et exfiltrant des données sensibles vers des serveurs distants.
GlassWorm transforme les machines des développeurs en aide aux criminels
Comme rapporté par l’article de blog de l’équipe de Koi partagé sur plusieurs subreddits, les extensions malveillantes déploient des serveurs proxy SOCKS et utilisent les systèmes de développement compromis pour constituer un réseau proxy criminel. Parallèlement, ils installent des serveurs VNC cachés, donnant aux attaquants un accès distant complet aux machines des victimes sans indicateurs visibles.
Les identifiants GitHub et NPM volés aident les opérateurs à infecter des dépôts et des packages supplémentaires, et permettent à GlassWorm de se propager plus profondément dans la chaîne d’approvisionnement logicielle.
Open VSX a confirmé qu’il avait identifié et supprimé toutes les extensions malveillantes connues associées à la campagne le 21 octobre, révoquant et faisant tourner les jetons compromis.
Cependant, le nouveau rapport de Koi Security indique que GlassWorm a refait surface, en utilisant une forme plus avancée d’obfuscation basée sur Unicode pour contourner les systèmes de détection.
Selon l’entreprise, sept extensions ont été compromises à nouveau le 17 octobre, cumulant 35 800 téléchargements combinés. La télémétrie de Koi montre également que dix extensions infectées sont actuellement actives et disponibles publiquement, et distribuent du malware à l’heure où ces lignes sont écrites.
« L’infrastructure de commande et de contrôle de l’attaquant reste pleinement opérationnelle. Les serveurs de charge utile répondent toujours, et les identifiants volés sont utilisés pour compromettre de nouveaux packages. »
Le malware CodeJoy est invincible, Koi Security dément
Le moteur d’analyse des risques de Koi a signalé une extension Open VSX appelée CodeJoy après que la version 1.8.3 a présenté des « changements comportementaux inhabituels ». CodeJoy ressemble à un outil de productivité pour développeurs légitime avec des centaines de téléchargements, une base de code propre et des mises à jour régulières.
« Lorsque nous avons ouvert le code source, nous avons remarqué un écart massif entre les lignes deux et sept », ont déclaré les chercheurs de Koi. « Ce n’est pas un espace vide, c’est du code malveillant encodé en caractères Unicode non imprimables qui ne s’affichent pas dans votre éditeur de code. »
Les attaquants ont utilisé des sélecteurs de variation Unicode invisibles qui rendent la charge utile malveillante invisible à l’œil nu. Les outils d’analyse statique et les revues de code manuelles n’ont rien vu d’anormal, yet l’interpréteur JavaScript a exécuté les commandes cachées parfaitement.
Une fois décodés, les caractères invisibles ont révélé un mécanisme de charge utile de deuxième étape, que les chercheurs de Koi ont découvert utilise la blockchain Solana comme infrastructure de commande et de contrôle (C2).
« L’attaquant utilise une blockchain publique, qui est immuable, décentralisée et résistante à la censure, comme son canal C2 », a expliqué Koi.
Le malware scanne le réseau Solana pour les transactions provenant d’une adresse de portefeuille codée en dur. Une fois trouvée, il lit le champ mémo, où un texte arbitraire peut être attaché aux transactions. À l’intérieur de ce champ mémo se trouve un objet JSON contenant un lien encodé en base64 pour télécharger la charge utile de la prochaine étape.
Une transaction Solana du 15 octobre affichée dans l’analyse de Koi contenait des données qui ont été décodées en une URL hébergeant l’emplacement actif pour télécharger la prochaine étape du malware.
Un attaquant peut faire pivoter les charges utiles en publiant une nouvelle transaction Solana pour une fraction de cent, mettant à jour toutes les extensions infectées qui interrogent la blockchain pour de nouvelles instructions.
Selon Koi, même si les défenseurs bloquent une URL de charge utile, l’attaquant peut émettre une autre transaction plus rapidement qu’il ne faut pour en supprimer une.
« C’est comme jouer au jeu du taureau avec des taureaux infinis », a noté un chercheur de Koi.
Les membres de Koi Security, Idan Dardikman, Yuval Ronen et Lotan Sery, ont confirmé que l’acteur de la menace a publié de nouvelles transactions Solana contenant de nouveaux points de terminaison de commande aussi récemment que cette semaine.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
