Die Sicherheitsexperten von Aikido Security haben eine neue Variation der GlassWorm-Kampagne dokumentiert, die mit einer bislang unbekannten Technik arbeitet. Die gefälschte Extension “specstudio.code-wakatime-activity-tracker” tarnt sich als WakaTime, ein legitimes Produktivitäts-Tool, das bei Entwicklern beliebt ist. Wie Forscher Ilyas Makari erklärte, handelt es sich um eine besonders raffinierte Anpassung des GlassWorm-Trojaners.
Das Besondere dieser Malware liegt in ihrer Architektur: Statt JavaScript-Code zu nutzen, werden Zig-kompilierte native Binärdateien installiert. Diese Node.js-Native-Addons laden direkt in Node.js Runtime und umgehen damit vollständig die JavaScript-Sandbox-Sicherheitsmechanismen. Auf Windows-Systemen heißt die Datei “win.node”, auf macOS “mac.node”. Diese Binärdateien haben direkten Zugriff auf Betriebssystem-Funktionen.
Sobald die Malware aktiviert wird, beginnt sie systematisch, alle auf dem System vorhandenen IDEs zu ermitteln – nicht nur VS Code oder VS Code Insiders, sondern auch verwandte Programme wie VSCodium, Positron sowie KI-gestützte Coding-Tools. Anschließend lädt sie eine zweite bösartige Extension namens “floktokbok.autoimport” von einem vom Angreifer kontrollierten GitHub-Konto herunter. Diese Extension imitiert ein populäres legitimes Plugin mit über fünf Millionen Installationen.
Die heruntergeladene .VSIX-Datei wird dann heimlich in alle erkannten IDEs installiert – ohne Benutzereinwilligung. Die zweite Stufe der Attacke ist noch gefährlicher: Sie vermeidet gezielt eine Ausführung in Russland, kommuniziert über die Solana-Blockchain, um ihren Command-and-Control-Server zu finden, stiehlt sensible Daten und installiert letztlich einen Remote-Access-Trojan (RAT). Dieser RAT wiederum verteilt einen Information-Stealing-Google-Chrome-Brower-Extension.
Benutzern, die die Malware-Extensions “specstudio.code-wakatime-activity-tracker” oder “floktokbok.autoimport” installiert haben, wird dringend empfohlen, von einer kompletten Systemkompromittierung auszugehen. Alle Passwörter, API-Keys und sonstigen Geheimnisse müssen sofort geändert werden. Die Extension ist bereits aus dem Official Marketplace entfernt worden, dennoch könnten Entwickler, die das Plugin in den letzten Wochen installiert haben, betroffen sein.