3个窃取GitHub、VSX和加密货币钱包凭证的VS Code扩展

开发人员必须应对 Visual Studio Code (VS Code) 扩展中休眠变为活动的恶意代码，该代码据信已通过窃取 GitHub、Open VSX 和加密货币钱包的凭据，影响了数千名用户。

GlassWorm行动，由网络安全公司Koi Security在上个月末首次发现，是由一个通过Open VSX注册表和Microsoft Visual Studio Marketplace分发VS Code扩展的黑客组织创建的。据报道，这些不法分子在看似合法的开发者工具中嵌入了不可见的恶意代码。

Koi 安全研究人员表示，该活动主要是为了窃取开发者凭据，如 NPM 令牌、GitHub 登录信息和 Git 凭据，从而实现供应链攻击和进行金融盗窃。 

根据 Koi 的分析，同一种恶意软件还针对了 49 种不同的加密货币钱包扩展程序，盗取用户资金并将敏感数据外泄至远程服务器。

GlassWorm 将开发者的机器变为罪犯的帮凶

正如Koi团队博客文章shared在多个Reddit子版块上报道的那样，恶意扩展部署SOCKS代理服务器，并利用被入侵的开发者系统建立犯罪代理网络。同时，他们安装隐藏的VNC服务器，使攻击者能够无需可见指示即可完全远程访问受害者机器。

被盗的 GitHub 和 NPM 凭据帮助攻击者感染更多的存储库和软件包，并使 GlassWorm 能够更深入地渗透到软件供应链中。

Open VSX 确认已于 10 月 21 日识别并移除了与该活动相关的所有已知恶意扩展程序，同时撤销并轮换受损的令牌。 

然而，Koi Security 的新报告指出，GlassWorm 已经卷土重来，采用了更先进的基于 Unicode 的混淆技术来绕过检测系统。

据该公司称，10 月 17 日又有七个扩展程序遭到入侵，累计下载量达 35,800 次。Koi 的遥测数据还显示，截至撰写本文时，有十个受感染的扩展程序目前处于活跃状态并公开可用，且正在分发恶意软件。

“攻击者的命令与控制基础设施仍然完全正常运行。载荷服务器仍在响应，被盗凭据正被用于入侵新的软件包。”

CodeJoy 恶意软件坚不可摧？Koi Security 予以驳斥

Koi 的风险分析引擎标记了一个名为 CodeJoy 的 Open VSX 扩展程序，因为在版本 1.8.3 中出现了“异常的行为变化”。CodeJoy 看起来像一个合法的开发者生产力工具，拥有数百次下载、干净的代码库和定期更新。

“当我们打开源代码时，我们注意到第二行和第七行之间存在巨大的空白，”Koi 研究人员表示。“那不是空白，而是编码在不可打印的 Unicode 字符中的恶意代码，这些字符在你的代码编辑器中不会渲染显示。”

攻击者使用了不可见的 Unicode 变体选择符，使恶意载荷对人类眼睛不可见。静态分析工具和人工代码审查均未发现异常，但 JavaScript 解释器却完美地执行了这些隐藏的命令。

解码后，这些不可见的字符揭示了一个第二阶段载荷机制，Koi 研究人员发现该机制利用 Solana 区块链作为其命令与控制（C2）基础设施。

“攻击者正在使用公共区块链，它具有不可变性、去中心化和抗审查性，将其作为 C2 通道，”Koi 解释道。

恶意软件会扫描 Solana 网络中来自硬编码钱包地址的交易。一旦发现，它会读取备注字段，任意文本可以附加到交易中。在该备注字段中，包含一个 JSON 对象，其中有一个 base64 编码的链接，用于下载下一阶段的有效载荷。

Koi 分析中展示的一笔 10 月 15 日的 Solana 交易包含的数据被解码为一个 URL，该 URL 托管着下载恶意软件下一阶段载荷的活跃位置。

攻击者可以通过发布新的 Solana 交易来轮换载荷，费用仅为几分之一美分，从而更新所有查询区块链以获取新指令的受感染扩展程序。 

据 Koi 称，即使防御者阻止了一个载荷 URL，攻击者也可以在防御者将其下线之前发出另一笔交易。 

“这就像是在打地鼠游戏，但地鼠是无限的，”一位 Koi 研究人员指出。

Koi Security 的成员 Idan Dardikman、Yuval Ronen 和 Lotan Sery 证实，威胁行为者在本周甚至更近的时间发布了包含新命令端点的最新 Solana 交易。