- Вредоносное ПО GlassWorm разместило 73 вредоносных расширений в реестре OpenVSX.
- Расширения созданы для кражи криптокошельков разработчиков и других конфиденциальных данных.
- Вредоносное ПО использует модель отложенной активации: сначала отправляется чистое расширение, а затем злонамерённое обновление.
GlassWorm, известное вредоносное ПО, загрузило 73 вредоносных расширения в реестр OpenVSX. Хакеры используют его для кражи криптокошельков разработчиков и других данных.
Исследователи безопасности обнаружили, что шесть расширений уже превратились в активные вредоносные модули. Расширения были загружены как поддельные копии известных списков, которые изначально не содержали вредоносного кода. Согласно отчету Socket, вредоносный код появляется в более позднем обновлении.
Вредоносное ПО GlassWorm атакует крипто-разработчиков
В октябре 2025 года впервые появился GlassWorm. Он использовал невидимые символы Unicode для сокрытия кода, предназначенного для кражи данных криптокошельков и учетных данных разработчиков. С тех пор кампания распространилась на пакеты npm, репозитории GitHub, магазин Visual Studio Code и OpenVSX.
В середине марта 2026 года волна затронула сотни репозиториев и десятки расширений, но ее масштаб привлек внимание общественности. Несколько исследовательских групп заметили активность на ранней стадии и помогли остановить ее.
Похоже, что злоумышленники изменили свой подход. Последняя партия не внедряет вредоносный код сразу; вместо этого она использует модель отложенной активации. Сначала отправляется чистое расширение, формируется база установок, а затем отправляется вредоносное обновление.
«Клонированные или поддельные расширения сначала публикуются без очевидной вредоносной нагрузки, а затем позже обновляются для доставки вредоносного ПО», — заявили исследователи Socket .
Исследователи безопасности обнаружили три способа доставки вредоносного кода через 73 расширения. Один из способов заключается во использовании второго пакета VSIX с GitHub во время работы программы и его установке с помощью команд CLI. Другой метод загружает скомпилированные модули, специфичные для платформы, такие как файлы [.]node, содержащие основную логику, включая рутинные процедуры для получения дополнительных вредоносных модулей.
Третий способ использует сильно зашифрованный JavaScript, который декодируется во время выполнения для загрузки и установки вредоносных расширений. В нем также используются зашифрованные или резервные URL-адреса для получения вредоносного кода.
Расширения выглядят очень похоже на настоящие.
В одном случае злоумышленник скопировал значок настоящего расширения и дал ему имя и описание, почти идентичные оригиналу. Различия заключаются в имени издателя и уникальном идентификаторе, но большинство разработчиков не обращают на это пристального внимания перед установкой.
GlassWorm создан для кражи токенов доступа, данных криптокошельков, SSH-ключей и информации об окружении разработчика.
Криптокошельки постоянно подвергаются атакам со стороны хакеров
Угроза выходит за рамки только криптокошельков. Другой, но связанный инцидент показывает, как атаки на цепочку поставок могут распространяться через инфраструктуру разработчиков.
22 апреля в реестре npm в течение 93 минут находилась вредоносная версия CLI Bitwarden под официальным именем пакета @bitwarden/[email protected]. Компания JFrog, специализирующаяся на безопасности, обнаружила, что вредоносный код крадет токены GitHub, токены npm, SSH-ключи, учетные данные AWS и Azure, а также секреты GitHub Actions.
Анализ JFrog показал, что взломанный пакет модифицировал хук установки и точку входа бинарного файла для загрузки среды выполнения Bun и выполнения зашифрованного вредоносного кода как во время установки, так и во время работы.
Согласно собственным данным компании, у Bitwarden более 50 000 корпоративных клиентов и 10 миллионов пользователей. Socket связала эту атаку с более крупной кампанией, отслеживаемой исследователями Checkmarx, и Bitwarden подтвердил эту связь.
Проблема заключается в том, как работают npm и другие реестры. Злоумышленники используют временной промежуток между публикацией пакета и проверкой его содержимого.
В 2025 году Sonatype обнаружил около 454 600 новых вредоносных пакетов, заразивших реестры. Злоумышленники, стремящиеся получить доступ к криптокастодианам, DeFi и платформам для запуска токенов, начали целиться в реестры и публиковать вредоносные рабочие процессы.
Для разработчиков, установивших любое из 73 помеченных расширений OpenVSX, Socket рекомендует сменить все секреты (ключи) и очистить свои среды разработки.
Следующим важным аспектом является то, активируются ли оставшиеся 67 спящих расширений в ближайшие дни, и внедрит ли OpenVSX дополнительные контрольные механизмы проверки для обновлений расширений.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ранда Моуз
Ранда Мозес — редактор и репортёр Cryptopolitan, освещающая технологии, ИИ, робототехнику, криптовалюты, мошенничество и взломы. Она работает в сфере криптовалют с 2017 года. Ранда занимала должности в Forward Protocol, AmaZix и Cryptosomniac. Ранда имеет степень в области электротехники и электроники, полученную в Университете Брэдфорда.
