Glassworm malware returns in third wave of malicious VS Code packages

Nouvelle vague de maliciels Glassworm dans des extensions VS Code

Une campagne de maliciels nommée Glassworm, qui cible les développeurs via des extensions pour les éditeurs compatibles avec Visual Studio Code, est réapparue pour une troisième fois. Ces maliciels se déguisent en extensions légitimes sur les plateformes OpenVSX et Microsoft Visual Studio Marketplace.

Points Clés :

• Méthode d’infection : Le maliciel utilise des caractères Unicode “invisibles” pour dissimuler son code malveillant lors des révisions. Il est ensuite mis à jour via des paquets malveillants publiés sur les marketplaces.
• Objectifs : Voler des informations d’identification pour GitHub, npm et OpenVSX, ainsi que des données de portefeuilles de cryptomonnaies.
• Fonctionnalités supplémentaires : Installation d’un proxy SOCKS pour masquer le trafic malveillant et d’un client HVNC pour un accès à distance furtif.
• Techniques d’évasion : Les acteurs de la menace gonflent artificiellement le nombre de téléchargements des extensions compromises pour leur donner une apparence légitime et manipuler les résultats de recherche.
• Évolution technique : Les implants malveillants sont désormais basés sur Rust, bien que la technique des caractères Unicode invisibles soit toujours utilisée.
• Ciblage étendu : Les nouvelles extensions compromettent des outils populaires et des frameworks de développement tels que Flutter, Vim, Yaml, Tailwind, Svelte, React Native et Vue.

Vulnérabilités :

Aucun identifiant CVE spécifique n’est mentionné dans l’article, mais les vulnérabilités résident dans le processus de validation et de modération des marketplaces d’extensions qui permettent à ces paquets malveillants d’être publiés et mis à jour.

Recommandations :

• Vigilance accrue : Les développeurs doivent être extrêmement prudents lors de l’installation d’extensions, même celles qui semblent familières ou populaires.
• Vérification des détails : Inspecter attentivement le nom de l’éditeur, la description, le nombre de téléchargements (bien que manipulable) et la date de dernière mise à jour des extensions.
• Privilégier les sources fiables : Si possible, utiliser des sources d’extensions plus étroitement contrôlées ou approuvées.
• Maintenir à jour les environnements : S’assurer que les éditeurs de code et les extensions sont toujours à jour pour bénéficier des derniers correctifs de sécurité.

Source