- サイバーセキュリティ企業のKoi Securityは、VS Code拡張機能内の見えないUnicodeコードにマルウェアを隠すGlassWormキャンペーンの新たな波を発見しました。
- このマルウェアはGitHub、Open VSX、および暗号化ウォレットの資格情報を盗み出し、開発者のマシンをプロキシインフラストラクチャに変え、サプライチェーンを通じて拡散します。
- GlassWormはSolanaブロックチェーンをコマンド・アンド・コントロールシステムとして使用しており、この操作は分散型で回復力があり、ほぼ停止させることが不可能です。
開発者は、GitHub、Open VSX、および暗号通貨ウォレットの資格情報を盗むことで数千人のユーザーを侵害したと見られる、Visual Studio Code（VS Code）拡張機能における休眠状態からアクティブになった悪意のあるコードと戦わなければなりません。
先月末にサイバーセキュリティ企業Koi Securityによって最初に特定された「Operation GlassWorm」は、Open VSX RegistryとMicrosoftのVisual Studio Marketplaceの両方を通じて配布されるVS Code拡張機能にハッキングしたグループによって作成されました。悪意のある行為者は、正当に見える開発者ツールの内部に目に見えない悪意のあるコードを埋め込んでいると報告されています。
Koiのセキュリティ研究者たちは、このキャンペーンは主にサプライチェーンの侵害と金銭的窃盗を可能にするために、NPMトークン、GitHubログイン、Git資格情報などの開発者資格情報を収集することを目的としていると述べています。
Koiの分析によると、同じマルウェアは49種類の異なる暗号通貨ウォレット拡張機能も標的にし、ユーザーの資金を奪い、機密データをリモートサーバーに漏洩させました。
GlassWormは開発者マシンを犯罪者の支援役に転換する
Koiのチームブログ記事共有で報告されているように、悪意のある拡張機能はSOCKSプロキシサーバーを展開し、侵害された開発者システムを使用して犯罪者のプロキシネットワークを構築しています。同時に、目に見える兆候なしに攻撃者が被害者のマシンに完全なリモートアクセスを提供できる隠されたVNCサーバーもインストールしています。
盗まれたGitHubとNPMの資格情報は、作業者が追加のリポジトリやパッケージに感染させるのを助け、GlassWormがソフトウェアサプライチェーンのより深い部分へ拡散することを可能にします。
Open VSXは、10月21日にキャンペーンに関連する既知のすべての悪意のある拡張機能を特定して削除し、侵害されたトークンの取り消しとローテーションを実施したことを確認しました。
しかし、Koi Securityの新しいレポートによると、GlassWormはより高度なUnicodeベースの難読化を使用して検出システムを回避し、再浮上しています。
同社によると、10月17日に7つの拡張機能が再び侵害され、合計35,800件のダウンロードが蓄積されました。Koiのテレメトリデータによると、現在10の感染した拡張機能がアクティブで公に利用可能であり、執筆時点でマルウェアを配布しています。
「攻撃者のコマンド・アンド・コントロールインフラは完全に稼働しています。ペイロードサーバーは依然として応答しており、盗まれた資格情報が使用されて新しいパッケージが侵害されています。」
CodeJoyマルウェアは不滅である、Koiセキュリティが否定
Koiのリスク分析エンジンは、バージョン1.8.3で「異常な動作の変化」を示した後、CodeJoyという名前のOpen VSX拡張機能をフラグ付けました。CodeJoyは、何百ものダウンロード、クリーンなコードベース、定期的なアップデートを備えた正当な開発者生産性ツールのように見えます。
「ソースコードを開いたとき、2行目と7行目の間に巨大なギャップがあることに気づきました」とKoiの研究者は言います。「それは空白ではなく、コードエディタではレンダリングされない印刷不可能なUnicode文字でエンコードされた悪意のあるコードです。」
攻撃者は、悪意のあるペイロードを人間の目から不可視にする不滅のUnicode変異選択子を使用しました。静的分析ツールや手動のコードレビューでは何も異常は見られませんでしたが、JavaScriptインタープリタは隠されたコマンドを完璧に実行しました。
デコードされると、不可視の文字は第二段階のペイロードメカニズムを明らかにしました。Koiの研究者が発見したところ、これはSolanaブロックチェーンをコマンド・アンド・コントロール（C2）インフラとして使用しています。
「攻撃者は、不変で分散型、検閲に耐性のあるパブリックブロックチェーンをC2チャネルとして使用しています」とKoiは説明します。
マルウェアは、ハードコードされたウォレットアドレスからのトランザクションについてSolanaネットワークをスキャンします。それを見つけると、トランザクションに任意のテキストを添付できるメモフィールドを読み取ります。そのメモフィールド内には、次の段階のペイロードをダウンロードするためのbase64エンコードされたリンクを含むJSONオブジェクトがあります。
Koiの分析に表示された10月15日のSolanaトランザクションには、マルウェアの次の段階をダウンロードするためのアクティブな場所をホストするURLにデコードされたデータが含まれていました。
攻撃者は、1セント未満の費用で新しいSolanaトランザクションを投稿することでペイロードをローテーションし、ブロックチェーンから新しい指示を照会するすべての感染した拡張機能を更新できます。
Koiによると、防御者が1つのペイロードURLをブロックしても、攻撃者はそれを停止させるよりも速く別のトランザクションを発行できます。
「それは無限のモグラがいるゲームのようです」とKoiの研究者は指摘しました。
Koi SecurityのメンバーであるIdan Dardikman、Yuval Ronen、Lotan Seryは、脅威アクターが今週に至るまで、新しいコマンドエンドポイントを含む新鮮なSolanaトランザクションを投稿したことを確認しました。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
Florence Muchai
フローレンスは過去6年間、暗号資産、ゲーム、テクノロジー、AIに関するニュースを報道してきました。メルウ科学技術大学でのコンピュータ学およびMMUSTでの災害管理と国際外交の学習により、言語能力、観察力、技術スキルを十分に備えています。フローレンスはVAPグループで勤務し、複数の暗号資産メディアハウスで編集者として活躍しました。
