GlassWorm маскирует вредоносные VSX-расширения под легитимные
Кампания GlassWorm расширила набор своих тактик, задействовав клонированные открытые VSX extensions, которые сейчас включают 73 identified sleeper extensions. Изначально такие расширения выглядят доброкачественными, однако позже превращаются в средство доставки malware. Эксперты отмечают: это не разовая операция, а выстроенная схема, рассчитанная на доверие разработчиков и долгую скрытую подготовку к атаке.
Как работает схема sleeper extensions
Sleeper extensions публикуются без очевидного злого умысла и на первом этапе выглядят безопасно. Их задача — укрепить доверие и дождаться момента активации. После этого они используются как оружие в атаке.
Клонированные расширения часто почти полностью повторяют легитимные аналоги: используются знакомые названия, иконки и содержимое. Это вводит разработчиков в заблуждение и снижает вероятность того, что вредоносный пакет будет распознан на раннем этапе.
В качестве примера исследователи приводят impersonation законного Turkish language pack for Visual Studio Code, который был оформлен так, чтобы выглядеть аутентичным, несмотря на публикацию с новых GitHub accounts.
Новые GitHub accounts и подготовка к активации
С апреля 2026 года наблюдается использование недавно созданных GitHub accounts. На них размещается минимальное число repositories, причём большинство из них либо пустые, либо содержат вводящую в заблуждение информацию.
По данным отчёта, активация как минимум шести таких extensions уже подтвердила их роль в распространении malware. Остальные по-прежнему находятся в состоянии готовности к активации, что соответствует прежним моделям кампании GlassWorm.
Как менялась доставка вредоносной нагрузки
Механизмы доставки эволюционировали. Если раньше вредоносная payload встраивалась непосредственно в extensions, то теперь злоумышленники используют переходные методы доставки. Среди них:
- указание внешних dependencies;
- инструкции по installation, ведущие к вредоносным artifacts;
- скрытые ссылки на внешние ресурсы, активируемые только при установке.
Такой подход делает схему заметно сложнее для анализа и позволяет обходить традиционные detection mechanisms. Сам код extension при этом может не содержать явных признаков вредоносного поведения — оно запускается позднее, после активации.
.node files и obfuscated JavaScript
Расширения GlassWorm могут реализовывать вредоносную логику разными способами. В частности, используются:
- embedded binary files .node;
- obfuscated JavaScript;
- динамическое decoding информации во время execution.
Особенность схемы в том, что .node files помогают скрывать вредоносные URLs, ведущие к .vsix files. При installation выполняются commands, рассчитанные на популярные IDE, включая VS Code. В других вариантах используется исключительно obfuscated JavaScript, который извлекает полезную информацию и активируется только во время execution.
Почему это опасно для supply chain
Эксперты называют действия GlassWorm тревожным сигналом для атак на supply chain. Вредоносный контент доставляется через доверенные программные каналы и использует социальную инженерию для проникновения в development environments.
Именно сочетание правдоподобного внешнего вида, отложенной активации и скрытых механизмов доставки делает такие кампании особенно опасными. Для организаций, работающих с расширениями и внешними packages, это означает необходимость более строгой проверки источников, репозиториев и поведения extensions до их установки.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
