Des pirates plantent 73 extensions endormies dans OpenVSX pour voler les portefeuilles cryptographiques

GlassWorm, un malware connu, a introduit 73 extensions nuisibles dans le registre d'OpenVSX. Les pirates l'utilisent pour voler les portefeuilles cryptographiques des développeurs et d'autres données.

Les chercheurs en sécurité ont découvert que six extensions sont déjà devenues des charges utiles actives. Les extensions ont été téléchargées en tant que copies falsifiées de listings bien connus qui n'étaient pas nuisibles. Selon un rapport de Socket, le code malveillant arrive dans une mise à jour ultérieure.

Le malware GlassWorm cible les développeurs de cryptomonnaies

En octobre 2025, GlassWorm est apparu pour la première fois. Il utilisait des caractères Unicode invisibles pour masquer du code destiné à voler les données des portefeuilles cryptographiques et les identifiants des développeurs. La campagne s'est depuis étendue aux packages npm, aux dépôts GitHub, au Marketplace Visual Studio Code et à OpenVSX.

Une vague a touché des centaines de dépôts et des dizaines d'extensions au milieu du mois de mars 2026, mais son ampleur a attiré l'attention. Plusieurs groupes de recherche ont remarqué l'activité tôt et ont contribué à l'arrêter.

Les attaquants semblent avoir changé d'approche. Le dernier lot n'intègre pas immédiatement de logiciel malveillant ; il utilise plutôt un modèle d'activation différé. Il envoie une extension propre, construit une base d'installation, puis envoie une mise à jour malveillante.

« Les extensions clonées ou usurpées sont d'abord publiées sans charge utile évidente, puis mises à jour ultérieurement pour livrer des logiciels malveillants », ont déclaré les chercheurs de Socket .

Les chercheurs en sécurité ont trouvé trois façons de livrer le code malveillant à travers les 73 extensions. Une façon consiste à utiliser un deuxième package VSIX depuis GitHub pendant que le programme est en cours d'exécution et à l'installer à l'aide de commandes CLI. Une autre méthode charge des modules compilés spécifiques à la plateforme, comme les fichiers [.]node qui contiennent la logique principale, y compris les routines pour obtenir plus de charges utiles.

Une troisième méthode utilise du JavaScript fortement obfusqué qui se décode au moment de l'exécution pour télécharger et installer des extensions malveillantes. Elle dispose également d'URLs chiffrées ou de secours pour obtenir la charge utile.

Les extensions ressemblent beaucoup aux listings légitimes.

Dans un cas, l'attaquant a copié l'icône de l'extension légitime et lui a donné un nom et une description presque identiques. Le nom de l'éditeur et l'identifiant unique sont ce qui les distingue, mais la plupart des développeurs ne regardent pas attentivement ces éléments avant l'installation.

GlassWorm est conçu pour cibler les jetons d'accès, les données des portefeuilles cryptographiques, les clés SSH et les informations sur l'environnement de développement.

Les portefeuilles cryptographiques sont continuellement sous la menace des pirates

La menace va au-delà des simples portefeuilles cryptographiques. Un incident différent mais connexe montre comment les attaques par chaîne d'approvisionnement peuvent se propager via l'infrastructure des développeurs.

Le 22 avril, le registre npm a hébergé une version malveillante de la CLI de Bitwarden pendant 93 minutes sous le nom officiel du package @bitwarden/[email protected]. JFrog, une entreprise de sécurité, a découvert que la charge utile volait les jetons GitHub, les jetons npm, les clés SSH, les identifiants AWS et Azure, ainsi que les secrets GitHub Actions.

L'analyse de JFrog a révélé que le package piraté a modifié le hook d'installation et le point d'entrée binaire pour charger l'exécution de Bun et exécuter une charge utile obfusquée, à la fois pendant l'installation et lors de l'exécution.

Selon les propres enregistrements de l'entreprise, Bitwarden compte plus de 50 000 entreprises et 10 millions d'utilisateurs. Socket a lié cette attaque à une campagne plus large suivie par les chercheurs de Checkmarx, et Bitwarden a confirmé le lien.

Le problème réside dans le fonctionnement de npm et d'autres registres. Les attaquants exploitent le délai entre la publication d'un package et la vérification de son contenu.

Sonatype a trouvé environ 454 600 nouveaux packages malveillants infestant les registres en 2025. Les acteurs de la menace cherchant à obtenir un accès à la garde de cryptomonnaies, à la DeFi et aux plateformes de lancement de jetons ont commencé à cibler les registres et à publier des workflows malveillants.

Pour les développeurs qui ont installé l'une des 73 extensions OpenVSX signalées, Socket recommande de faire tourner tous les secrets et de nettoyer leurs environnements de développement.

La prochaine chose à surveiller est de savoir si les 67 extensions dormantes restantes s'activent dans les jours à venir, et si OpenVSX met en œuvre des contrôles de révision supplémentaires pour les mises à jour des extensions.