3 estensioni VS Code che rubano le credenziali per GitHub, VSX e portafogli crypto

Gli sviluppatori dovranno affrontare un codice malevolo dormiente che è stato attivato nelle estensioni di Visual Studio Code (VS Code), il quale si ritiene abbia compromesso migliaia di utenti rubando le credenziali per GitHub, Open VSX e portafogli di criptovalute.

L'operazione GlassWorm, identificata per la prima volta dalla società di cybersecurity Koi Security alla fine del mese scorso, è stata creata da un gruppo che ha hackerato le estensioni VS Code distribuite sia tramite il registro Open VSX sia attraverso il Visual Studio Marketplace di Microsoft. Si riporta che i cattivi attori abbiano incorporato codice malevolo invisibile all'interno di strumenti di sviluppo apparentemente legittimi.

I ricercatori di Koi Security affermano che la campagna mira principalmente a raccogliere le credenziali degli sviluppatori, come token NPM, accessi GitHub e credenziali Git, per abilitare compromissioni della catena di approvvigionamento e furti finanziari. 

Secondo l'analisi di Koi, lo stesso malware ha preso di mira anche 49 diverse estensioni per portafogli di criptovalute, drenando i fondi degli utenti ed esfiltrando dati sensibili verso server remoti.

GlassWorm trasforma le macchine degli sviluppatori in alleati dei criminali

Come riportato dall'articolo del blog del team di Koi condiviso su diversi subreddit, le estensioni malevole implementano server proxy SOCKS e utilizzano i sistemi degli sviluppatori compromessi per costruire una rete proxy criminale. Parallelamente, installano server VNC nascosti, fornendo agli attaccanti l'accesso remoto completo alle macchine delle vittime senza indicatori visibili.

Le credenziali GitHub e NPM rubate aiutano gli operatori a infettare ulteriori repository e pacchetti, permettendo a GlassWorm di propagarsi più profondamente nella catena di approvvigionamento del software.

Open VSX ha confermato di aver identificato e rimosso tutte le estensioni malevole note associate alla campagna il 21 ottobre, revocando e ruotando anche le credenziali compromesse. 

Tuttavia, il nuovo rapporto di Koi Security indica che GlassWorm è riemerso, utilizzando una forma più avanzata di offuscamento basato su Unicode per eludere i sistemi di rilevamento.

Secondo l'azienda, sette estensioni sono state nuovamente compromesse il 17 ottobre, accumulando complessivamente 35.800 download. La telemetria di Koi mostra inoltre che dieci estensioni infette sono attualmente attive e pubblicamente disponibili, distribuendo malware al momento della stesura.

“L’infrastruttura di comando e controllo dell’attaccante rimane pienamente operativa. I server del payload continuano a rispondere e le credenziali rubate vengono utilizzate per compromettere nuovi pacchetti.”

Il malware CodeJoy è invincibile, Koi Security lo smentisce

Il motore di analisi dei rischi di Koi ha segnalato un’estensione Open VSX denominata CodeJoy dopo che la versione 1.8.3 ha mostrato “cambiamenti comportamentali insoliti”. CodeJoy appare come uno strumento legittimo per la produttività degli sviluppatori, con centinaia di download, un codice pulito e aggiornamenti regolari.

“Quando abbiamo aperto il codice sorgente, abbiamo notato un enorme spazio vuoto tra le righe due e sette”, hanno dichiarato i ricercatori di Koi. “Non si tratta di spazio vuoto, ma di codice malevolo codificato in caratteri Unicode non stampabili che non vengono visualizzati nell’editor di codice.”

Gli attaccanti hanno utilizzato selettori di variazione Unicode invincibili che rendono il payload malevolo invisibile all’occhio umano. Gli strumenti di analisi statica e le revisioni manuali del codice non hanno rilevato nulla di anomalo, tuttavia l’interprete JavaScript ha eseguito i comandi nascosti in modo impeccabile.

Una volta decodificati, i caratteri invisibili hanno rivelato un meccanismo di payload di secondo livello, che i ricercatori di Koi hanno scoperto utilizzare la blockchain Solana come infrastruttura di comando e controllo (C2).

“L’attaccante sta utilizzando una blockchain pubblica, che è immutabile, decentralizzata e resistente alla censura, come proprio canale C2”, ha spiegato Koi.

Il malware scansiona la rete Solana alla ricerca di transazioni provenienti da un indirizzo portafoglio hardcodato. Una volta individuata, legge il campo memo, dove è possibile allegare testo arbitrario alle transazioni. All'interno di tale campo memo risiede un oggetto JSON contenente un link codificato in base64 per scaricare il payload della fase successiva.

Una transazione Solana del 15 ottobre, mostrata nell'analisi di Koi, conteneva dati decodificati in un URL che ospitava la posizione attiva per il download della fase successiva del malware.

Un attaccante può ruotare i payload pubblicando una nuova transazione Solana per frazioni di centesimo, aggiornando tutte le estensioni infette che interrogano la blockchain per nuove istruzioni. 

Secondo Koi, anche se i difensori bloccano un URL del payload, l'attaccante può emettere un'altra transazione più velocemente di quanto impieghino a eliminarlo. 

“È come giocare a whack-a-mole con un numero infinito di talpe”, ha osservato un ricercatore di Koi.

I membri di Koi Security Idan Dardikman, Yuval Ronen e Lotan Sery hanno confermato che l'attore della minaccia ha pubblicato recenti transazioni Solana contenenti nuovi endpoint di comando già questa settimana.