GlassWorm-Kampagne kapert Entwicklungsumgebungen über gefälschte VS-Code-Erweiterungen
Eine neue Welle der GlassWorm-Malware nutzt manipulierte IDE-Erweiterungen mit einem in Zig kompilierten Dropper, um sich unbemerkt über mehrere Entwicklungsumgebungen auszubreiten und über die Solana-Blockchain mit Kontrollservern zu kommunizieren.
Laut einem Bericht von The Hacker News steht im Zentrum der aktuellen GlassWorm-Kampagne eine gefälschte Erweiterung für Visual Studio Code (VSC), die als Einstiegspunkt für eine mehrstufige Infektion von Entwicklerarbeitsplätzen dient. Die Angriffskette kombiniert Social Engineering mit technisch anspruchsvoller Verschleierung und zielt darauf ab, sich tief in der Werkzeuglandschaft von Softwareentwicklern einzunisten.
Gefälschte Zeiterfassungs-Erweiterung als Einfallstor
Die Kampagne nutzte laut The Hacker News eine über die Open-VSX-Plattform verteilte Erweiterung mit dem Namen „specstudio.code-wakatime-activity-tracker“. Das Paket gab sich als die weitverbreitete Zeiterfassungssoftware WakaTime aus und war optisch sowie funktional kaum vom Original zu unterscheiden. Der entscheidende Unterschied lag jedoch unter der Oberfläche: Neben dem üblichen JavaScript-Code lieferte die Erweiterung eine mit der Programmiersprache Zig kompilierte native Binärdatei aus. Forscher des Sicherheitsunternehmens Aikido beschreiben diese Kombination als ungewöhnlich und gezielt auf Verschleierung ausgelegt.
Die Schadkomponente besteht aus nativen Node.js-Erweiterungen – Dateien wie „win.node” oder „mac.node” –, die als gemeinsam genutzte Bibliotheken direkt in die Laufzeitumgebung geladen werden. Der Vorteil für die Angreifer ist erheblich: Diese Module operieren vollständig außerhalb der JavaScript-Sandbox und verfügen über volle Betriebssystemrechte. Damit wird eine scheinbar harmlose Editor-Erweiterung zu einem mächtigen Werkzeug mit uneingeschränktem Systemzugriff. Laut einer Analyse von koi.ai dient die native Binärdatei dabei nicht als eigentliche Schadfunktion, sondern als unauffällige Zwischenschicht, die den bekannten GlassWorm-Dropper weiterleitet.
Systematische Ausbreitung über alle kompatiblen Editoren
Nach der ersten Ausführung beginnt der Dropper laut The Hacker News mit einer systematischen Suche nach allen auf dem System installierten Entwicklungsumgebungen, die Erweiterungen im VSC-Format unterstützen. Das Spektrum der Ziele ist breit gefächert und umfasst neben Microsoft Visual Studio Code und VS Code Insiders auch Open-Source-Forks wie VSCodium und Positron sowie KI-gestützte Entwicklungsumgebungen wie Cursor und Windsurf. Diese breite Kompatibilität ermöglicht eine ungewöhnlich effektive laterale Bewegung innerhalb des Entwickler-Ökosystems auf einem einzelnen Rechner.
Im nächsten Schritt lädt die Malware eine zweite Erweiterung von einem von den Angreifern kontrollierten GitHub-Konto mit dem Namen „ColossusQuailPray” nach. Diese Erweiterung trägt die Kennung „floktokbok.autoimport” und imitiert gezielt eine weit verbreitete legitime Auto-Import-Erweiterung. Die Installation erfolgt automatisiert und ohne Nutzerinteraktion über die Kommandozeilen-Schnittstellen der jeweiligen Entwicklungsumgebungen. Damit verankert sich die Schadsoftware tief im Arbeitsumfeld der betroffenen Entwickler.
Blockchain als Steuerungskanal und umfangreiche Schadfunktionen
Die nachgeladene zweite Stufe fungiert laut Aikido als eigentlicher Dropper und bringt eine Reihe weiterer Funktionen mit. Besonders auffällig ist die Nutzung der Solana-Blockchain: Die Malware ruft die Adresse ihres Command-and-Control-Servers (C2) über die Blockchain ab. Dieses Verfahren macht die Kommunikationsinfrastruktur widerstandsfähiger gegenüber klassischen Abschaltungsmaßnahmen, da Blockchain-Einträge nicht einfach entfernt werden können.
Darüber hinaus umfasst die Schadfunktionalität laut dem Bericht die Exfiltration sensibler Daten aus der Entwicklungsumgebung, die Installation eines Remote-Access-Trojaners (RAT) sowie das Nachladen einer informationsstehlenden Browser-Erweiterung für Google Chrome. Damit erhalten die Angreifer potenziell Zugriff auf Zugangsdaten, API-Schlüssel, Quellcode und Browser-Sitzungen.
Gezielte Regionenauswahl und Handlungsempfehlungen
Ein weiteres Detail weist laut The Hacker News auf eine professionelle Kampagne hin: Die Malware vermeidet gezielt die Ausführung auf Systemen mit russischer Lokalisierung. Dieses Verhalten ist ein bekanntes Muster bei Angriffsoperationen, die bestimmte Regionen bewusst aussparen – ein Vorgehen, das in der Sicherheitsforschung häufig als Hinweis auf die Herkunft oder den Auftraggeber einer Kampagne gewertet wird.
Die Kompromittierung von Entwicklungsumgebungen gilt als besonders kritisch, da dort routinemäßig sensible Informationen verarbeitet werden. Laut Secure Annex, das die Kampagne ebenfalls dokumentiert hat, sollten Betroffene von einer vollständigen Kompromittierung ihres Systems ausgehen und sämtliche Zugangsdaten umgehend austauschen. Die GlassWorm-Kampagne verdeutlicht, dass Angreifer zunehmend die Werkzeuge der Softwareentwicklung selbst ins Visier nehmen – ein Angriffsvektor, der über die Supply Chain potenziell weit über den einzelnen Entwicklerarbeitsplatz hinaus Wirkung entfalten kann.