GlassWorm schlägt wieder zu: Neue Angriffswelle trifft Entwicklerplattformen
GlassWorm ist zurück. Die Kampagne infiltriert die Entwicklerplattformen Visual Studio Marketplace und Open VSX mit insgesamt 24 gefälschten Erweiterungen. Die Tarnung der manipulierten Werkzeuge wirkt erstaunlich echt – ein massiver Angriff auf die Softwarelieferkette.
Die jüngste Angriffswelle der als GlassWorm bekannten Supply-Chain-Kampagne zeigt einmal mehr, wie anfällig moderne Entwicklungsumgebungen sind. Insgesamt 24 Erweiterungen haben die Angreifer in den Marktplatz für Microsoft Visual Studio und in Open VSX eingeschleust – alle sorgfältig getarnt als weit verbreitete Entwicklerwerkzeuge. Darunter befinden sich vermeintliche Varianten von Flutter, React, Tailwind, Vim oder Vue.
GlassWorm wurde erstmals im Oktober 2025 dokumentiert. Dabei wurde detailliert beschrieben, wie die Täter die Solana-Blockchain für Command-and-Control-Zwecke und das Sammeln gestohlener Zugangsdaten für npm, Open VSX, GitHub und Git missbrauchten. Mit diesen Daten zogen sie Kryptowährungsbestände aus zahlreichen Wallets ab und verwandelten Entwicklerrechner in Knotenpunkte für weiterführende kriminelle Aktivitäten.
Systematischer Missbrauch gestohlener Anmeldedaten
Der gefährlichste Teil der Kampagne ist der systematische Missbrauch zuvor erbeuteter Zugangsdaten. Mit ihnen kompromittieren die Täter weitere Pakete und Erweiterungen und verbreiten die Schadsoftware dadurch wie einen Wurm. Trotz der Gegenmaßnahmen von Microsoft und Open VSX tauchte GlassWorm im vergangenen Monat erneut auf. Dieses Mal nahmen die Angreifer zusätzlich GitHub-Repositorys ins Visier.
In der neuen Angriffswelle identifizierte Secure-Annex-Forscher John Tuckner insgesamt 24 Erweiterungen, die über beide Plattformen verteilt waren. Viele dieser Erweiterungen imitieren bekannte und vertrauenswürdige Projekte. Die Täter steigerten zudem künstlich die Downloadzahlen, damit die Erweiterungen in den Suchergebnissen weit oben erscheinen und dadurch besonders glaubwürdig wirken.
Tuckner warnt: Sobald eine Erweiterung erst einmal genehmigt wurde, falle es den Angreifern erstaunlich leicht, den Code unauffällig durch eine bösartige Variante zu ersetzen. Da viele Erweiterungen erst nach einem „Aktivieren“-Moment ausgeführt werden, bleibt der Schadcode bis dahin verborgen.
Identifizierte Erweiterungen
VS Code Marketplace:
• iconkieftwo.icon-theme-materiall (entfernt am 2. Dezember 2025)
• prisma-inc.prisma-studio-assistance (entfernt am 1. Dezember 2025)
• prettier-vsc.vsce-prettier
• flutcode.flutter-extension
• csvmech.csvrainbow
• codevsce.codelddb-vscode
• saoudrizvsce.claude-devsce
• clangdcode.clangd-vsce
• cweijamysq.sync-settings-vscode
• bphpburnsus.iconesvscode
• klustfix.kluster-code-verify
• vims-vsce.vscode-vim
• yamlcode.yaml-vscode-extension
• solblanco.svetle-vsce
• vsceue.volar-vscode
• redmat.vscode-quarkus-pro
• msjsdreact.react-native-vsce
Open VSX:
• bphpburn.icons-vscode
• tailwind-nuxt.tailwindcss-for-react
• flutcode.flutter-extension
• yamlcode.yaml-vscode-extension
• saoudrizvsce.claude-dev
• saoudrizvsce.claude-devsce
• vitalik.solidity
Versteckte Unicode-Manipulationen und neue Rust-Implantate
Wie bereits in früheren Fällen nutzt auch die neue GlassWorm-Generation Manipulationen durch unsichtbare Unicode-Zeichen. Neu hingegen ist die Integration von Rust-basierten Implantaten, die direkt in die kompromittierten Erweiterungen eingebettet sind.
Die Analyse der Erweiterung „icon-theme-materiall“ durch Nextron Systems zeigte, dass zwei Plattformen angegriffen werden können:
- Eine Windows-Bibliothek mit der Bezeichnung os.node
- Eine dynamische Bibliothek für macOS mit der Bezeichnung darwin.node
Diese Implantate beziehen Konfigurationsinformationen über eine Solana-Blockchain-Adresse, die als Container für die Steuerdaten dient. Darüber laden sie die nächste Schadstufe nach – eine verschlüsselte JavaScript-Datei. Als Ausweichmechanismus können die Implantate sogar ein Ereignis in einem Google-Kalender interpretieren, um die Adresse des Steuerungsservers zu ermitteln.
Ein ungewöhnlich hohes Tempo
Besonders alarmierend ist das Tempo der Täter. Innerhalb einer einzigen Woche platzierten sie über 20 neue bösartige Erweiterungen auf den beiden wichtigsten Marktplätzen für Entwicklerwerkzeuge. Laut Tuckner ist das äußerst ungewöhnlich und erhöht die Gefahr, dass selbst erfahrene Entwickler auf die präparierten Erweiterungen hereinfallen.
Wer eine der manipulierten Erweiterungen installiert, ist oft nur einen Klick von einer vollständigen Kompromittierung entfernt. Die Mischung aus glaubwürdiger Tarnung, gestohlenen Zugangsdaten, blockchainbasierten Steuermechanismen und plattformübergreifenden Rust-Implantaten macht GlassWorm zu einer der fortschrittlichsten und dynamischsten Kampagnen gegen Softwarelieferketten in diesem Jahr.
Für Plattformbetreiber, Unternehmen und die gesamte Entwicklergemeinschaft bleibt die Herausforderung bestehen: Die Lieferkette für Software muss besser geschützt werden. GlassWorm zeigt eindrücklich, wie schnell Bedrohungsakteure auf Sicherheitsmaßnahmen reagieren und wie anpassungsfähig ihre Werkzeuge inzwischen sind.