- GlassWormマルウェアはOpenVSXのレジストリに73件の有害な拡張機能をインストールしました。
- これらの拡張機能は、開発者の暗号通貨ウォレットやその他の機密データを窃取するために設計されています。
- マルウェアは遅延起動モデルを使用し、まずクリーンな拡張機能を配信し、その後で悪意のある更新を送信します。
既知のマルウェアであるGlassWormは、OpenVSXのレジストリに73個の有害な拡張機能を配置しました。ハッカーはこれを使用して、開発者の暗号資産ウォレットやその他のデータを盗みます。
セキュリティ研究者は、6つの拡張機能がすでにアクティブなペイロードに変化していることを発見しました。これらの拡張機能は、有害ではない著名なリストの偽コピーとしてアップロードされました。Socketのレポートによると、悪意のあるコードは後の更新に含まれています。
GlassWormマルウェアが暗号資産開発者を攻撃
2025年10月、GlassWormが初めて出現しました。これは、暗号資産ウォレットのデータや開発者の資格情報を盗むことを意図したコードを隠すために、不可視のUnicode文字を使用しました。このキャンペーンはその後、npmパッケージ、GitHubリポジトリ、Visual Studio Codeマーケットプレイス、およびOpenVSXに拡大しました。
2026年3月中旬、数百のリポジトリと dozens の拡張機能に波が押し寄せましたが、その規模が人々の注目を集めました。複数の研究グループが早期にこの活動に気づき、それを阻止するのを助けました。
攻撃者は手法を変更したようです。最新のバッチは直ちにマルウェアを埋め込むのではなく、遅延起動モデルを使用します。まずクリーンな拡張機能を配信してインストールベースを構築し、その後悪意のある更新を送信します。
「クローン化またはなりすまし拡張機能は、まず明白なペイロードなしで公開され、その後マルウェアを配信するように更新されます」とSocket研究者は述べています。
セキュリティ研究者は、73個の拡張機能にわたって悪意のあるコードを配信する3つの方法を見つけました。1つ目は、プログラム実行中にGitHubから2番目のVSIXパッケージを使用し、CLIコマンドを使用してインストールする方法です。別の方法は、コアロジック（より多くのペイロードを取得するルーチンを含む）を含むプラットフォーム固有のコンパイル済みモジュール（[.]nodeファイルなど）を読み込む方法です。
3つ目の方法は、実行時にデコードされて悪意のある拡張機能をダウンロードしてインストールする、高度に難読化されたJavaScriptを使用します。また、ペイロードを取得するための暗号化されたURLまたはフォールバックURLも含まれています。
これらの拡張機能は本物のリストと非常に似ています。
あるケースでは、攻撃者は本物の拡張機能のアイコンをコピーし、名前と説明をほぼ同じにしました。発行者名と一意の識別子だけがそれらを区別していますが、ほとんどの開発者はインストール前にこれらを注意深く確認しません。
GlassWormは、アクセストークン、暗号資産ウォレットのデータ、SSHキー、および開発者環境に関する情報へのアクセスを狙うように構築されています。
暗号資産ウォレットはハッカーから継続的に攻撃を受けています
この脅威は暗号資産ウォレットだけに留まりません。別の関連する事例は、サプライチェーン攻撃が開発者のインフラを通じてどのように広がるかを示しています。
4月22日、npmレジストリは公式パッケージ名 @bitwarden/[email protected] の下で、BitwardenのCLIの悪意のあるバージョンを93分間ホストしました。セキュリティ企業のJFrogは、このペイロードがGitHubトークン、npmトークン、SSHキー、AWSおよびAzureの資格情報、およびGitHub Actionsのシークレットを盗むことを発見しました。
JFrogの分析によると、ハッキングされたパッケージはインストールフックとバイナリエントリポイントを変更し、Bunランタイムを読み込んで難読化されたペイロードを実行するようにしました。これはインストール時と実行時の両方で行われます。
同社の記録によると、Bitwardenは50,000以上の企業と1,000万人以上のユーザーを持っています。Socketはこの攻撃をCheckmarx研究者によって追跡されているより大きなキャンペーンに関連付け、Bitwardenもこの接続を確認しました。
この問題はnpmおよび他のレジストリの運用方法に起因します。攻撃者は、パッケージが公開されてからその内容がチェックされるまでの時間を利用します。
Sonatypeは、2025年にレジストリに感染した約454,600個の新しい悪意のあるパッケージを発見しました。暗号資産の保管、DeFi、トークンローンチパッドへのアクセスを得ようとする脅威アクターは、レジストリを対象とし、悪意のあるワークフローをリリースし始めました。
73個のフラグ付きOpenVSX拡張機能のいずれかをインストールした開発者に対して、Socketはすべてのシークレットのローテーションと開発環境のクリーンアップを推奨しています。
次に注目すべき点は、残りの67個の休眠拡張機能が今後数日間でアクティブになるかどうか、およびOpenVSXが拡張機能の更新に対して追加のレビュー制御を実装するかどうかです。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
