GlassWorm gemte sig et år i VS Code-udvidelser, før det blev lukket ned

I over et år arbejdede nogle af de udviklere, der bygger apperne på din telefon, uden at vide det for en anden. En skadelig kode ved navn GlassWorm sad i udvidelser til Visual Studio Code, verdens mest brugte kodeeditor, og i de open source-pakker, som disse udviklere trækker ind i deres projekter hver dag. Den indsamlede deres adgangskoder, kaprede deres konti og brugte dem til at plante sig selv i endnu mere software. CrowdStrike, Google og Shadowserver Foundation har nu klippet dens tråde over.

Det angår selv dem, der aldrig har åbnet en kodeeditor, for softwarens forsyningskæde er netop det, en kæde. Beskedappen på telefonen, bankappen, spillet på konsollen hviler alle på tusinder af små open source-byggesten, som andre skriver og vedligeholder. Forgift én af de byggesten, og giften kan løbe nedstrøms helt ind i færdige produkter, som millioner bruger. GlassWorm blev bygget til at ride på den strøm uden at blive set.

Det, der adskilte den, var måden at skjule sig på. Operatørerne skrev de skadelige instruktioner med usynlige Unicode-tegn, kode der vises som tomt felt inde i editoren, så en udvikler, der gennemgik filen, ikke så noget galt. Forskerne hos Koi Security, der først identificerede kampagnen, kaldte den den første orm, der spreder sig selv via udvidelser til kodeeditorer. Hver inficeret maskine blev startpunktet for den næste.

De fleste angreb på forsyningskæden er hurtige kup: en forgiftet pakke bliver fundet, trukket tilbage og rettet inden for dage. GlassWorm var bygget til at holde. Fordi den selv stjal de oplysninger, den skulle bruge for at sprede sig, kunne den plante sig selv igen længe efter, at en enkelt udvidelse var fjernet, og sådan nåede én operation ud til hundredvis af projekter og titusinder af downloads over mere end et år.

Infektionsvejene var det helt almindelige rørarbejde i moderne softwarearbejde. Operatørerne uploadede manipulerede udvidelser til Open VSX, markedspladsen der fodrer VS Code og dens fætre Cursor, Windsurf, Positron og VSCodium, forklædt som uskyldige værktøjer som tidtagere eller kodeformaterere. De listede ændret kode ind i npm-pakker og i Pythons pakkeindeks via installationsscripts, der kører af sig selv, og med oplysninger taget fra tidligere ofre tvang de skadelige ændringer ind i hovedgrenene på over 300 GitHub-arkiver. Vel inde på en maskine jagtede GlassWorm nøgler: npm-tokens, GitHub-logins, de publiceringstokens der lader en udvikler lægge udvidelser op, og kryptopunge. Den gjorde inficerede computere til relæservere for anden kriminel trafik og installerede i nogle tilfælde skjult fjernadgangssoftware, der gav operatørerne et live-billede af skærmen.

At lukke den ned betød at gå efter den måde, operatørerne holdt kontakt med deres maskiner på, og her var GlassWorm bygget til at overleve. I stedet for at stole på én kommandoserver, der kunne trækkes ud af stikket, brugte den fire kanaler på én gang. Én kodede sine instruktioner ind i transaktioner på blockchainen Solana, et offentligt register tænkt til at være permanent og uden for rækkevidde. En anden gemte konfigurationen i fildelingsnetværket BitTorrent. En tredje puttede kodede webadresser ind i titlerne på Google Calendar-begivenheder. Den fjerde var en helt almindelig lejet server. CrowdStrikes Counter Adversary Operations-team kappede sammen med Google og Shadowserver hele sættet i ét koordineret slag.

At klippe snorene over er ikke det samme som at rense såret. At kappe kanalerne forhindrer operatørerne i at sende nye ordrer og nye nyttelaster, men fjerner ikke GlassWorm fra de maskiner, den allerede styrer, og hver adgangskode, den allerede har taget, forbliver taget. Det er heller ikke kampagnens første forstyrrelse. Efter at Koi Security afslørede den, vendte GlassWorm tilbage, en gang med to dusin nye skadelige udvidelser og måneder senere med snesevis flere. Blockchain-kanalen, som forskerne beskrev som umulig at lukke ned, er nu lukket ned, men folkene bag har gang på gang vist, at de bygger op igen.

Efterforskerne mener, at operatørerne sandsynligvis sidder i Rusland. Koden tjekker computerens sprog- og tidszoneindstillinger ved opstart og lukker sig stille, hvis den lander på et system i Rusland eller et naboland fra det tidligere sovjetiske område, et velkendt fingeraftryk fra kriminelle grupper, der arbejder fra regionen og undgår lokale ofre. CrowdStrike opsummerede forskydningen lige ud ad landevejen: angriberne går ikke længere kun efter produkterne, de går efter de udviklere, der bygger dem. Shadowserver Foundation er begyndt at underrette ramte organisationer, så de kan rense deres systemer og udskifte alle oplysninger, der kan være lækket, og for alle længere nede i kæden begynder det rigtige arbejde nu, mens hold gennemgår, hvilke udvidelser og pakker de har installeret siden begyndelsen af 2025. Infrastrukturen er slukket. Oprydningen er knap nok begyndt.