3 расширения VS Code, крадущие учетные данные GitHub, VSX и криптокошельков
- Фирма по кибербезопасности Koi Security обнаружила новую волну кампании GlassWorm, которая скрывает вредоносное ПО в невидимом коде Unicode внутри расширений VS Code.
- Вредоносное ПО крадет учетные данные GitHub, Open VSX и криптокошельков, превращая машины разработчиков в прокси-инфраструктуру и распространяясь через цепочки поставок.
- GlassWorm использует блокчейн Solana в качестве системы командования и управления, что делает операцию децентрализованной, устойчивой и практически невозможной для остановки.
Разработчикам придется иметь дело с кодом, который был спящим, но стал активным, в расширениях Visual Studio Code (VS Code), который, как считается, скомпрометировал тысячи пользователей, украв учетные данные для GitHub, Open VSX и криптовалютных кошельков.
Операция GlassWorm, впервые выявленная компанией по кибербезопасности Koi Security в конце прошлого месяца, была создана группой хакеров, распространявшей расширения VS Code как через реестр Open VSX, так и через Visual Studio Marketplace от Microsoft. По сообщениям, злоумышленники внедряли невидимый вредоносный код в инструменты разработчиков, имеющие легитимный вид.
Исследователи Koi Security утверждают, что кампания направлена в основном на сбор учетных данных разработчиков, таких как токены NPM, логины GitHub и учетные данные Git, чтобы обеспечить компрометацию цепочки поставок и финансовое хищение.
Согласно анализу Koi, тот же вредоносный код также атаковал 49 различных расширений криптовалютных кошельков, опустошая средства пользователей и выгружая конфиденциальные данные на удаленные серверы.
GlassWorm превращает машины разработчиков в инструмент для преступников
Как сообщается в статье блога команды Koi опубликованной в нескольких сабреддитах, вредоносные расширения развертывают SOCKS-прокси-серверы и используют скомпрометированные системы разработчиков для создания криминальной прокси-сети. Параллельно они устанавливают скрытые VNC-серверы, предоставляя злоумышленникам полный удаленный доступ к машинам жертв без видимых признаков.
Украденные учетные данные GitHub и NPM помогают операторам заражать дополнительные репозитории и пакеты, позволяя GlassWorm проникать глубже в цепочку поставок программного обеспечения.
Open VSX подтвердила, что идентифицировала и удалила все известные вредоносные расширения, связанные с кампанией, 21 октября, а также отозвала и заменила скомпрометированные токены.
Однако новый отчет Koi Security указывает на то, что GlassWorm возродился, используя более продвинутую форму обфускации на основе Unicode для обхода систем обнаружения.
По данным компании, 17 октября были снова скомпрометированы семь расширений, набравших в совокупности 35 800 загрузок. Телеметрия Koi также показывает, что в настоящее время активно и публично доступны десять зараженных расширений, распространяющих вредоносное ПО на момент написания статьи.
«Инфраструктура командно-контрольного центра атакующего остается полностью работоспособной. Серверы полезной нагрузки все еще отвечают, а украденные учетные данные используются для компрометации новых пакетов.»
Вредоносное ПО CodeJoy неуязвимо, Koi Security опровергает
Движок анализа рисков Koi пометил расширение Open VSX под названием CodeJoy после того, как версия 1.8.3 продемонстрировала «необычные поведенческие изменения». CodeJoy выглядит как легитимный инструмент повышения производительности разработчика с сотнями загрузок, чистой кодовой базой и регулярными обновлениями.
«Когда мы открыли исходный код, мы заметили огромный разрыв между строками двумя и семью», — сказали исследователи Koi. «Это не пустое пространство, это вредоносный код, закодированный в ненапечатных символах Unicode, которые не отображаются в вашем редакторе кода.»
Атакующие использовали неуязвимые вариационные селекторы Unicode, которые делают вредоносную полезную нагрузку невидимой для человеческого глаза. Инструменты статического анализа и ручной обзор кода не выявили ничего необычного, однако интерпретатор JavaScript выполнял скрытые команды безупречно.
При декодировании невидимые символы раскрыли механизм полезной нагрузки второго этапа, который, как обнаружили исследователи Koi, использует блокчейн Solana в качестве инфраструктуры командно-контрольного центра (C2).
«Атакующий использует публичный блокчейн, который является неизменяемым, децентрализованным и устойчивым к цензуре, в качестве своего канала C2», — объяснила Koi.
Вредоносное ПО сканирует сеть Solana на наличие транзакций от жестко закодированного адреса кошелька. Обнаружив их, оно считывает поле memo, куда можно прикрепить произвольный текст к транзакциям. Внутри этого поля memo находится объект JSON, содержащий ссылку в формате base64 для загрузки полезной нагрузки следующего этапа.
Транзакция Solana от 15 октября, отображенная в анализе Koi, содержала данные, которые были декодированы в URL, размещающий активное местоположение для загрузки следующего этапа вредоносного ПО.
Атакующий может менять полезную нагрузку, публикуя новую транзакцию Solana за доли цента, обновляя все зараженные расширения, которые запрашивают у блокчейна новые инструкции.
По словам Koi, даже если защитники заблокируют один URL полезной нагрузки, атакующий может выпустить другую транзакцию быстрее, чем она будет устранена.
«Это похоже на игру в „постучи-по-кроту“ с бесконечными кротами», — отметил исследователь Koi.
Члены Koi Security Идан Дардикман, Юваль Ронен и Лотан Сери подтвердили, что злоумышленник публиковал свежие транзакции Solana, содержащие новые конечные точки команд, совсем на этой неделе.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
