Geliştirici topluluğu son aylarda sahte VS Code eklentileri üzerinden yayılan Glassworm zararlısı nedeniyle yeni bir riskle karşı karşıya kaldı. Kampanya ekim ayında ilk kez tespit edildi. Güvenlik araştırmacıları üçüncü dalganın iki farklı eklenti mağazasını aynı anda etkilediğini duyurdu. Saldırganlar sahte yayıncı hesaplarıyla onlarca eklentiyi mağazalara yükledi. Bu eklentiler ilk aşamada temiz göründü. Yayıncılar daha sonra güncellemeyle zararlı kodu ekledi.
Glassworm Tekniği Gizlenen Kodlarla Gelişti
Glassworm ilk aşamada görünmez Unicode karakterleri kullanarak kodu incelemeden kaçırdı. Zararlı eklentiler indirildikten sonra GitHub, npm ve OpenVSX hesaplarına erişmeye çalıştı. Sistem ayrıca kripto cüzdan bilgilerini hedef aldı. Eklentiler SOCKS proxy bileşenini çalıştırdı. HVNC modülü saldırganlara gizli bir bağlantı sağladı. Yeni dalgada Rust tabanlı yerleşikler eklentilere gömüldü. Araştırmacılar bazı paketlerde Unicode hilesinin yine kullanıldığını tespit etti.
Secure Annex araştırmacısı John Tuckner yeni dalgada popüler geliştirme araçlarının taklit edildiğini bildirdi. Saldırganlar Flutter, Vim, Yaml, Tailwind, Svelte, React Native ve Vue gibi araçların eklentilerini kopyaladı. VS Marketplace için sahte tema paketleri, kod biçimlendiricileri ve çerçeve eklentileri üretildi. OpenVSX tarafında da benzer eklentiler listelendi. Yayıncılar indirme sayılarını yapay şekilde yükseltti. Bu hamle sahte eklentilerin arama sonuçlarında üst sıralara çıkmasını sağladı. Sahte paketler gerçek projelerin hemen altında göründü.
OpenVSX daha önce olayı kontrol altına aldığını açıklamıştı. Platform çalınan erişim jetonlarını yeniledi. Saldırganlar buna rağmen kısa sürede yeni hesaplarla geri döndü. Microsoft olay sonrası açıklama yaptı. Şirket tarama sistemlerinin geliştirilmesi için çalışmaların devam ettiğini belirtti. Kullanıcılar şüpheli içerikleri eklenti sayfasındaki “Report Abuse” bağlantısıyla bildirebilecek.
