A campanha de supply-chain GlassWorm voltou a atacar em uma ação coordenada que comprometeu centenas de pacotes, repositórios e extensões nas plataformas GitHub, npm e no marketplace de extensões do VSCode/OpenVSX.
Pesquisadores das comunidades Aikido, Socket, Step Security e OpenSourceMalware identificaram, só neste mês, 433 componentes afetados pela operação do GlassWorm.
Evidências apontam que um único grupo de atores maliciosos coordena as campanhas, atuando em múltiplos repositórios open source.
Isso é comprovado pelo uso recorrente do mesmo endereço na blockchain Solana para atividades de comando e controle (C2), pela presença de payloads idênticos ou muito semelhantes, além da infraestrutura compartilhada.
O GlassWorm foi detectado pela primeira vez em outubro do ano passado, quando os invasores empregavam caracteres Unicode “invisíveis” para ocultar códigos maliciosos que coletavam dados de carteiras de criptomoedas e credenciais de desenvolvedores.
Desde então, a campanha atuou em ondas, expandindo-se para o marketplace oficial do Visual Studio Code, da Microsoft, e para o registro OpenVSX, utilizado por IDEs não suportadas oficialmente, conforme descoberto pelo pesquisador John Tuckner, da Secure Annex.
Sistemas macOS também foram alvos, com versões trojanizadas dos clientes das carteiras Trezor e Ledger, além de extensões comprometidas no OpenVSX focadas em desenvolvedores.
A mais recente onda de ataques do GlassWorm é significativamente maior, afetando:
- 200 repositórios Python no GitHub
- 151 repositórios JavaScript/TypeScript no GitHub
- 72 extensões para VSCode/OpenVSX
- 10 pacotes no npm
O comprometimento inicial ocorre no GitHub, onde as contas de desenvolvedores são invadidas para realizar force-pushes com commits maliciosos.
Em seguida, pacotes e extensões com código obfuscado — novamente utilizando caracteres Unicode invisíveis — são publicados no npm e nos marketplaces do VSCode/OpenVSX, dificultando a detecção por ferramentas tradicionais.
Em todas as plataformas, a blockchain Solana é consultada a cada cinco segundos em busca de novas instruções.
De acordo com relatorios, entre 27 de novembro de 2025 e 13 de março de 2026 foram registradas 50 novas transações, majoritariamente para atualização da URL do payload.
Essas instruções são embutidas como memos nas transações, levando ao download do runtime Node.js e à execução de um ladrão de informações baseado em JavaScript.
O malware tem como alvo dados de carteiras de criptomoedas, credenciais, tokens de acesso, chaves SSH e informações do ambiente de desenvolvimento.
Análises dos comentários no código indicam que o GlassWorm é orquestrado por agentes de ameaça que falam russo.
Além disso, o malware evita sua execução caso detecte que o sistema está configurado com a localidade russa.
No entanto, esses elementos não são suficientes para uma atribuição definitiva.
Recomenda-se que desenvolvedores que instalem pacotes Python diretamente do GitHub ou trabalhem com repositórios clonados verifiquem sinais de comprometimento.
Para isso, devem buscar no código a variável “lzcdrtfxyqiplpd”, que funciona como indicador do GlassWorm.
Também é recomendada a inspeção do sistema em busca do arquivo ~/init.json — usado para persistência do malware — além de investigar instalações inesperadas do Node.js no diretório home, como ~/node-v22*.
Desenvolvedores devem ainda atentar para a existência de arquivos suspeitos chamados i.js em projetos clonados recentemente, além de monitorar o histórico de commits do Git em busca de anomalias, como datas de “committer” muito posteriores às originais do autor.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...