Gli hacker piantano 73 estensioni dormienti in OpenVSX per rubare portafogli crypto

GlassWorm, un malware noto, ha inserito 73 estensioni dannose nel registro di OpenVSX. Gli hacker lo usano per rubare i portafogli crypto degli sviluppatori e altri dati.

I ricercatori di sicurezza hanno scoperto che sei estensioni si sono già trasformate in payload attivi. Le estensioni sono state caricate come copie false di elenchi ben noti che non erano dannosi. Secondo un rapporto di Socket, il codice cattivo arriva in un aggiornamento successivo.

Il malware GlassWorm attacca gli sviluppatori crypto

Nell'ottobre 2025, GlassWorm è apparso per la prima volta. Ha utilizzato caratteri Unicode invisibili per nascondere il codice destinato a rubare i dati dei portafogli crypto e le credenziali degli sviluppatori. La campagna si è da allora diffusa ai pacchetti npm, ai repository GitHub, al Marketplace di Visual Studio Code e a OpenVSX.

Un'ondata ha colpito centinaia di repository e dozzine di estensioni a metà marzo 2026, ma le sue dimensioni hanno attirato l'attenzione. Diversi gruppi di ricerca hanno notato l'attività in anticipo e hanno aiutato a fermarla.

Gli attaccanti sembrano aver cambiato approccio. L'ultimo lotto non incorpora il malware immediatamente; invece, utilizza un modello di attivazione ritardata. Invia un'estensione pulita, costruisce una base di installazione e poi invia un aggiornamento dannoso.

"Le estensioni clonate o che impersonano vengono pubblicate inizialmente senza un payload evidente, poi aggiornate successivamente per consegnare malware", hanno detto i ricercatori di Socket.

I ricercatori di sicurezza hanno trovato tre modi per consegnare il codice malevolo attraverso le 73 estensioni. Un modo è utilizzare un secondo pacchetto VSIX da GitHub mentre il programma è in esecuzione e installarlo usando comandi CLI. Un altro metodo carica moduli compilati specifici della piattaforma come file [.]node che contengono la logica di base, incluse routine per ottenere più payload.

Un terzo modo utilizza JavaScript pesantemente offuscato che viene decodificato in fase di esecuzione per scaricare e installare estensioni malevole. Ha anche URL crittografati o di fallback per ottenere il payload.

Le estensioni sembrano molto simili agli elenchi genuini.

In un caso, l'attaccante ha copiato l'icona dell'estensione genuina e le ha dato un nome e una descrizione quasi identiche. Il nome dell'editore e l'identificatore univoco sono ciò che li distinguono, ma la maggior parte degli sviluppatori non guarda attentamente a queste cose prima dell'installazione.

GlassWorm è costruito per colpire i token di accesso, i dati dei portafogli crypto, le chiavi SSH e le informazioni sull'ambiente di sviluppo.

I portafogli crypto sono continuamente sotto attacco dagli hacker

La minaccia va oltre i semplici portafogli crypto. Un incidente diverso ma correlato mostra come gli attacchi alla catena di fornitura possano diffondersi attraverso l'infrastruttura degli sviluppatori.

Il 22 aprile, il registro npm ha ospitato una versione malvagia della CLI di Bitwarden per 93 minuti sotto il nome ufficiale del pacchetto @bitwarden/[email protected]. JFrog, un'azienda di sicurezza, ha scoperto che il payload rubava i token di GitHub, i token npm, le chiavi SSH, le credenziali AWS e Azure e i segreti di GitHub Actions.

L'analisi di JFrog ha trovato che il pacchetto hackerato ha modificato il hook di installazione e l'entrypoint binario per caricare il runtime Bun ed eseguire un payload offuscato, sia durante l'installazione che durante l'esecuzione.

Secondo i propri record dell'azienda, Bitwarden ha più di 50.000 aziende e 10 milioni di utenti. Socket ha collegato quell'attacco a una campagna più ampia tracciata dai ricercatori di Checkmarx, e Bitwarden ha confermato la connessione.

Il problema risiede nel modo in cui operano npm e altri registri. Gli attaccanti sfruttano il tempo tra la pubblicazione di un pacchetto e il controllo dei suoi contenuti.

Sonatype ha trovato circa 454.600 nuovi pacchetti malevoli che infestavano i registri nel 2025. Gli attori delle minacce che cercano di ottenere accesso alla custodia crypto, al DeFi e ai lanciatori di token hanno iniziato a prendere di mira i registri e a rilasciare flussi di lavoro malevoli.

Per gli sviluppatori che hanno installato una delle 73 estensioni OpenVSX segnalate, Socket raccomanda di ruotare tutti i segreti e pulire i loro ambienti di sviluppo.

La prossima cosa da osservare è se le 67 estensioni dormienti rimanenti si attiveranno nei prossimi giorni e se OpenVSX implementerà controlli di revisione aggiuntivi per gli aggiornamenti delle estensioni.