Pesquisadores em cibersegurança identificaram um worm autorreplicante que se espalha por meio de extensões do Visual Studio Code (VS Code) disponíveis no Open VSX Registry e no Microsoft Extension Marketplace.
O incidente evidencia como desenvolvedores se tornaram alvos prioritários de ataques cibernéticos.
Batizado de GlassWorm pela Koi Security, o worm representa o segundo ataque à cadeia de suprimentos no ecossistema DevOps em um mês, após o surgimento do worm Shai-Hulud, que afetou o ecossistema npm em meados de setembro de 2025.
A sofisticação da ameaça está no uso da blockchain Solana como canal de comando e controle (C2), conferindo à infraestrutura grande resistência contra tentativas de derrubada.
Como mecanismo alternativo, também utiliza o Google Calendar para fallback do C2.
Outra inovação notável da campanha GlassWorm é o uso de caracteres invisíveis em Unicode que fazem o código malicioso "desaparecer" nos editores.
Segundo Idan Dardikman, em relatório técnico, os atacantes empregaram "variation selectors" do Unicode — caracteres da especificação que não geram saída visual no editor.
O objetivo final do ataque é roubar credenciais dos serviços npm, Open VSX, GitHub e Git; esvaziar fundos de 49 extensões de carteiras de criptomoedas; instalar servidores proxy SOCKS para transformar máquinas de desenvolvedores em pontos de passagem para atividades ilícitas; implantar servidores HVNC (Hidden VNC) para acesso remoto; e usar as credenciais roubadas para comprometer mais pacotes e extensões, aumentando a propagação.
Foram identificadas 14 extensões infectadas — 13 no Open VSX e uma no Microsoft Extension Marketplace — totalizando cerca de 35.800 downloads.
A primeira onda de infecção ocorreu em 17 de outubro de 2025.
Até o momento, desconhece-se como as extensões foram comprometidas.
Veja a lista completa:
- codejoy.codejoy-vscode-extension, versões 1.8.3 e 1.8.4
- l-igh-t.vscode-theme-seti-folder, versão 1.2.3
- kleinesfilmroellchen.serenity-dsl-syntaxhighlight, versão 0.3.2
- JScearcy.rust-doc-viewer, versão 4.2.1
- SIRILMP.dark-theme-sm, versão 3.11.4
- CodeInKlingon.git-worktree-menu, versões 1.0.9 e 1.0.91
- ginfuru.better-nunjucks, versão 0.3.2
- ellacrity.recoil, versão 0.7.4
- grrrck.positron-plus-1-e, versão 0.0.71
- jeronimoekerdt.color-picker-universal, versão 2.8.91
- srcery-colors.srcery-colors, versão 0.3.9
- sissel.shopify-liquid, versão 4.0.1
- TretinV3.forts-api-extention, versão 0.3.1
- cline-ai-main.cline-ai-agent, versão 3.1.3 (Microsoft Extension Marketplace)
O código malicioso dessas extensões é programado para identificar transações relacionadas a carteiras controladas pelos atacantes na blockchain Solana.
Quando detecta alguma, extrai uma string em Base64 do campo memo; ao decodificá-la, obtém o IP do servidor C2 ("217.69.3[.]218" ou "199.247.10[.]166"), responsável por entregar a próxima fase do payload.
Essa etapa seguinte é um malware do tipo stealer, que coleta credenciais, tokens de autenticação e dados de carteiras de criptomoedas.
O código também consulta um evento no Google Calendar para obter outra string codificada em Base64, que aponta para o mesmo servidor para baixar um módulo chamado Zombi.
As informações roubadas são enviadas a um endpoint remoto ("140.82.52[.]31:80") controlado pelos criminosos.
Escrito em JavaScript, o módulo Zombi transforma a infecção GlassWorm em um comprometimento completo, instalando proxy SOCKS, módulos WebRTC para comunicação ponto a ponto, a Distributed Hash Table (DHT) do BitTorrent para distribuição descentralizada de comandos e servidores HVNC para controle remoto.
O cenário agrava-se pelo fato de que extensões do VS Code possuem atualizações automáticas ativadas, permitindo que atores maliciosos distribuam código sem qualquer interação dos usuários.
"Não se trata de um ataque isolado à cadeia de suprimentos", afirma Dardikman.
"Este é um worm projetado para se espalhar rapidamente pelo ecossistema de desenvolvedores."
"Os atacantes descobriram como tornar malwares de supply chain autossustentáveis.
Eles não apenas comprometem pacotes individuais — agora criam worms capazes de se propagar autonomamente por todo o ecossistema de desenvolvimento de software."
A descoberta ocorre num momento em que o uso da blockchain para hospedar payloads maliciosos cresce, graças ao pseudonimato e à flexibilidade proporcionados.
Até mesmo grupos de ameaça originários da Coreia do Norte têm explorado essa técnica em campanhas de espionagem e motivadas por ganhos financeiros.
Publicidade
Conheça a Solyd One, e tenha acesso a todos os cursos de segurança ofensiva da Solyd, todas as certificações práticas, incluindo a SYCP, 2 CTFs anuais com prêmios de até 30 mil reais, dezenas de laboratórios realísticos, suporte, comunidade e muito mais. Saiba mais...