黑客在OpenVSX中植入73个休眠扩展程序以窃取加密货币钱包

已知的恶意软件GlassWorm已将73个有害扩展程序放入OpenVSX的注册表中。黑客利用它来窃取开发人员的加密货币钱包和其他数据。

安全研究人员发现，六个扩展程序已转变为活跃的有效载荷。这些扩展程序作为知名列表的虚假副本上传，最初并无害。根据Socket的报告，恶意代码出现在后续更新中。

GlassWorm恶意软件攻击加密货币开发人员

2025年10月，GlassWorm首次出现。它使用不可见的Unicode字符来隐藏旨在窃取加密货币钱包数据和开发人员凭据的代码。该活动随后蔓延至npm包、GitHub存储库、Visual Studio Code市场和OpenVSX。

2026年3月中旬，一波攻击波及数百个存储库和数十个扩展程序，但其规模引起了人们的注意。几个研究小组早期就注意到了这一活动并帮助阻止了它。

攻击者似乎改变了他们的策略。最新一批扩展程序不会立即嵌入恶意软件，而是采用延迟激活模型。它发送一个干净的扩展程序，建立安装基础，然后发送恶意更新。

“克隆或冒充的扩展程序最初发布时没有明显的有效载荷，随后更新以交付恶意软件，”Socket研究人员said。

安全研究人员发现了在73个扩展程序中交付恶意代码的三种方式。一种方式是在程序运行时使用来自GitHub的第二个VSIX包，并使用CLI命令安装它。另一种方法加载特定于平台的编译模块（如包含核心逻辑的[.]node文件），包括获取更多有效载荷的例程。

第三种方式使用高度混淆的JavaScript，在运行时解码以下载和安装恶意扩展程序。它还具有用于获取有效载荷的加密或备用URL。

这些扩展程序看起来与真实列表非常相似。

在一例中，攻击者复制了真实扩展程序的图标，并给出了几乎相同的名称和描述。发布者名称和唯一标识符是它们之间的区别，但大多数开发人员在安装前不会仔细查看这些内容。

GlassWorm旨在获取访问令牌、加密货币钱包数据、SSH密钥以及开发人员环境信息。

加密货币钱包持续遭受黑客攻击

威胁不仅仅局限于加密货币钱包。一起不同但相关的事件表明，供应链攻击如何通过开发人员的基础设施传播。

4月22日，npm注册表在官方包名@bitwarden/[email protected]下托管了Bitwarden CLI的一个恶意版本长达93分钟。安全公司JFrog发现，该有效载荷窃取了GitHub令牌、npm令牌、SSH密钥、AWS和Azure凭据以及GitHub Actions密钥。

JFrog的分析发现，被黑包修改了安装钩子和二进制入口点，以在安装和运行时加载Bun运行时并运行混淆的有效载荷。

根据该公司自己的记录，Bitwarden拥有超过50,000家企业和1000万用户。Socket将该攻击与Checkmarx研究人员追踪的更大规模活动联系起来，Bitwarden也确认了这一联系。

问题在于npm和其他注册表如何运作。攻击者利用包发布与其内容被检查之间的时间差进行利用。

Sonatype发现，2025年约有454,600个新的恶意包侵染注册表。旨在获取加密货币托管、DeFi和代币启动平台访问权限的威胁行为者已开始针对注册表并发布恶意工作流。

对于安装了73个被标记的OpenVSX扩展程序的开发人员，Socket建议轮换所有密钥并清理其开发环境。

接下来需要关注的是，剩余的67个休眠扩展程序是否会在未来几天内激活，以及OpenVSX是否会对扩展程序更新实施额外的审查控制。