GlassWorm-Kampagne nutzt Zig-Dropper, um mehrere Entwickler-IDEs zu infizieren

Zusammenfassung

Sicherheitsforscher haben eine neue Ausbaustufe der laufenden GlassWorm-Kampagne entdeckt. Im Zentrum steht ein in Zig kompilierter Dropper, der darauf ausgelegt ist, unbemerkt sämtliche integrierten Entwicklungsumgebungen (IDEs) auf dem Rechner eines Entwicklers zu infizieren. Aufgefallen ist die Technik bei einer Open-VSX-Erweiterung namens „specstudio.code-wakatime-activity-tracker", die sich als WakaTime ausgibt – ein verbreitetes Werkzeug, das misst, wie viel Zeit Programmierer in ihrer IDE verbringen. Die Erweiterung steht inzwischen nicht mehr zum Download bereit. Wie der Aikido-Security-Forscher Ilyas Makari in einer in dieser Woche veröffentlichten Analyse schreibt, liefert die Erweiterung neben ihrem JavaScript-Code eine in Zig kompilierte native Binärdatei mit. Es sei nicht das erste Mal, dass GlassWorm auf nativen kompilierten Code in Erweiterungen zurückgreife. Neu ist jedoch, dass die Binärdatei nicht selbst als Schadlast dient, sondern als verdeckter Umweg zum bekannten GlassWorm-Dropper – der nun heimlich alle weiteren auffindbaren IDEs auf dem System infiziert.

Die betroffene Erweiterung für Microsoft Visual Studio Code (VS Code) ist nach Angaben von Aikido Security nahezu eine Kopie von WakaTime. Der einzige Unterschied liegt in einer Änderung an einer Funktion namens „activate()". Auf Windows-Systemen installiert die Erweiterung eine Binärdatei namens „win.node", auf Apple-macOS-Systemen eine universelle Mach-O-Binärdatei namens „mac.node".

Bei diesen Dateien handelt es sich um native Node.js-Add-ons – kompilierte, in Zig geschriebene Shared Libraries, die direkt in die Laufzeitumgebung von Node geladen werden. Sie laufen außerhalb der JavaScript-Sandbox und verfügen über vollen Zugriff auf Betriebssystemebene.

Nach dem Laden besteht die Hauptaufgabe der Binärdatei darin, jede IDE auf dem System zu finden, die VS-Code-Erweiterungen unterstützt. Dazu zählen Microsoft VS Code und VS Code Insiders ebenso wie Forks wie VSCodium und Positron sowie KI-gestützte Programmierwerkzeuge wie Cursor und Windsurf.

Anschließend lädt die Binärdatei eine schädliche VS-Code-Erweiterung (.VSIX) von einem durch die Angreifer kontrollierten GitHub-Konto herunter. Diese Erweiterung trägt den Namen „floktokbok.autoimport" und gibt sich als „steoates.autoimport" aus – eine legitime Erweiterung mit über fünf Millionen Installationen im offiziellen Visual Studio Marketplace.

Im letzten Schritt wird die heruntergeladene .VSIX-Datei in ein temporäres Verzeichnis geschrieben und über den jeweiligen CLI-Installer jedes Editors unbemerkt in alle IDEs installiert. Die Erweiterung der zweiten Stufe fungiert als Dropper: Sie verzichtet auf eine Ausführung auf russischen Systemen, kontaktiert die Solana-Blockchain, um den Command-and-Control-Server (C2) zu ermitteln, exfiltriert sensible Daten und installiert einen Remote-Access-Trojaner (RAT). Dieser bringt schließlich eine datenstehlende Erweiterung für Google Chrome aus.

Nutzern, die „specstudio.code-wakatime-activity-tracker" oder „floktokbok.autoimport" installiert haben, rät Aikido Security, von einer Kompromittierung auszugehen und sämtliche Zugangsdaten zu erneuern.

GlassWorm-Kampagne nutzt Zig-Dropper, um mehrere Entwickler-IDEs zu infizieren

Ähnliche Artikel

Neueste Artikel