Glassworm ist mit neun Angriffen auf VS-Code zurück

Die Nutzer des Visual Studio Marketplace und der Open VSX Registry sind erneut das Ziel.

Malware ist zurück auf den Marktplätzen OpenVSX und Microsoft Visual Studio, warnen Forscher. Mitte September dieses Jahres wurde berichtet, dass Cyberkriminelle Krypto-Besitzer und Entwickler ins Visier nahmen, indem sie Infostealer in Open-Source-Code-Repositorys einschleusten.

Der Visual Studio Marketplace und die Open VSX Registry sind beides Plattformen für die Verteilung von Erweiterungen, wobei erstere Microsoft gehört und in Visual Studio und Visual Studio Code verwendet wird, während letztere eine herstellerneutrale Open-Source-Alternative ist, die für VS Code-kompatible Editoren wie Eclipse Theia, Gitpod, SAP Business Application Studio und andere entwickelt wurde.

Zunächst fanden die Forscher mindestens 24 bösartige Erweiterungen, und sobald diese entfernt wurden, tauchten neue auf. Die Erweiterungen installierten Lumma Stealer, sobald sie auf einem Windows-Gerät eingerichtet wurden.

Zwei Dutzend neue Pakete

Nun berichten Sicherheitsforscher, dass die Kampagne, die sie Glassworm getauft haben, mit 24 neuen Paketen, die auf den beiden Plattformen hinzugefügt wurden, wieder aufgetaucht ist.

Um die Malware einzuschleusen, verwenden die Angreifer unsichtbare Unicode-Zeichen, die einen Infostealer bilden, der versucht, GitHub-, npm- und OpenVSX-Konten zu kapern. Von dort aus geht er dann dazu über, Tokens und andere Wertgegenstände aus 49 Browser-Erweiterungs-Wallets zu entwenden.

Außerdem setzt er einen HVNC-Client für den Fernzugriff und einen SOCKS-Proxy für das Routing von bösartigem Datenverkehr ein. Laut BleepingComputer wurde der neue Angriff von Sicherheitsanalysten von Secure Annex entdeckt, die behaupten, dass die Kampagne auf eine Vielzahl von Tools und Entwickler-Frameworks wie Flutter, Vim, Yaml, Tailwind, Svelte, React Native und Vue abzielt.

Die vollständige Liste der Pakete finden Sie unter diesem Link.

In seinem Bericht erklärte BleepingComputer, dass es Microsoft über die Angriffe informiert habe und dass das Unternehmen nach Möglichkeiten suche, die Abwehrmaßnahmen für das beliebte Repository zu verstärken:

Wir bewerten und verbessern weiterhin unsere Scan- und Erkennungsfunktionen, um Missbrauch zu verhindern. Microsoft fordert die Benutzer auf, verdächtige Inhalte zu melden.