گروه GlassWorm در یک کمپین جدید، ابزارهای توسعه نرم‌افزار را به کانال‌های توزیع بدافزار تبدیل کرده است. این حمله از طریق افزونه‌هایی (Extensions) که به عنوان تم‌های جذاب برای Visual Studio Code تبلیغ می‌شدند، صورت گرفته و بازارهای Visual Studio Marketplace و Open VSX را هدف قرار داده است.
جزئیات فنی و مکانیسم حمله
تحلیل‌های صورت گرفته توسط Socket.dev نشان می‌دهد که این عامل تهدید (Threat Actor) از تغییرات ظاهری برای پنهان کردن کدهای مخرب در سیستم‌های توسعه‌دهندگان استفاده کرده است. یکی از افزونه‌های شناسایی شده با نام Aurora Nocturne Night Theme، یک Downloader مخصوص ویندوز را در بسته‌ی توزیع خود پنهان کرده بود. با وجود اینکه مخزن (Repository) عمومی این پروژه سالم به نظر می‌رسید، اما فایل JavaScript اجرایی آن به شدت Obfuscate شده و در یک خط فشرده شده بود تا از شناسایی توسط تحلیل‌گران بگریزد.
پس از رمزگشایی دستورات پنهان، این افزونه محتوایی را از سرور مهاجم دانلود کرده، یک اسکریپت Command موقت در ویندوز ذخیره و آن را بدون نمایش پنجره کنسول اجرا می‌کرد. این تفاوت میان کد منبع عمومی و بسته‌ی نصب شده، نشان می‌دهد که بررسی صرفِ مخازن کد برای شناسایی این تهدید کافی نیست.
ارتباط با بلاک‌چین و زیرساخت‌های GlassWorm
افزونه Cosmic Nebula Themes ارتباط مستقیم با GlassWorm را تایید کرد. این افزونه از رمزنگاری AES-256-CBC برای رمزگشایی JavaScript داخلی استفاده می‌کرد. نکته قابل توجه این است که Loader بازیابی شده، برای یافتن زیرساخت‌های بعدی Payload، از یادداشت‌های تراکنش‌های بلاک‌چین Solana استفاده می‌کرد. این مکانیسم به مهاجمان اجازه می‌دهد بدون نیاز به انتشار نسخه‌ی جدید افزونه، آدرس دانلود Payload را تغییر دهند.
تاثیرات و ریسک‌های امنیتی
- دسترسی به منابع حساس: هدف قرار گرفتن Workstation توسعه‌دهندگان، دروازه‌ای برای دسترسی به مخازن کد (Repositories)، محیط‌های ابری (Cloud Environments) و سایر منابع حساس سازمان است.
- سرقت اعتبارنامه: گزارش‌های قبلی از GlassWorm نشان‌دهنده تمرکز این گروه بر سرقت Credentialها و ایجاد دسترسی Persistent است.
- تعداد نصب: تم‌های Coca-Cola Christmas و Aurora Borealis Studio در مجموع بیش از ۸,۰۰۰ بار نصب شده‌اند و نسخه‌های Open VSX ده‌ها هزار دانلود داشته‌اند.
توصیه‌های دفاعی برای SOC و تیم‌های امنیت
با توجه به اینکه حذف افزونه از Marketplace لزوماً نسخه‌های نصب شده روی سیستم‌ها را پاک نمی‌کند، اقدامات زیر توصیه می‌شود:
- بررسی موجودی (Inventory): تمامی تم‌های نصب شده در ادیتورهای سازگار را بررسی کنید.
- تحلیل Runtime: بررسی تنظیمات فعال‌سازی، اسکریپت‌های bundled، دسترسی‌های شبکه و فرآیندهای رمزگشایی در زمان اجرا.
- پایش IoCها: بررسی سیستم‌ها برای یافتن فایل
temp_batch.cmdدر پوشه TEMP و ارتباطات با دامنهfingercakes4sale[.]store. - بازبینی دوره‌ای: به‌روزرسانی‌های افزونه‌ها باید مجدداً بررسی شوند، زیرا یک افزونه در ابتدا ممکن است بی‌خطر باشد و در آپدیت‌های بعدی مخرب شود.
