Die GlassWorm-Kampagne offenbart eine beunruhigende Eskalation von Supply-Chain-Angriffen. Erstmals im Oktober beobachtet, nutzt die Bedrohung raffinierte Techniken, um sich in verschiedene Entwickler-Ökosysteme einzuschleusen. Die neueste Welle zeigt, dass Angreifer ihre Methodik bewusst anpassen, um Erkennungsmaßnahmen zu umgehen.
Die 73 Erweiterungen im OpenVSX-Ökosystem sind Klone legitimer Software-Erweiterungen. Die Angreifer setzen dabei auf visuelle Ähnlichkeit: identische Icons, vergleichbare Naming-Konventionen und Beschreibungen sollen Entwickler täuschen, die nicht genauer hinschauen. Nur subtile Unterschiede — etwa beim Publisher-Namen oder der eindeutigen Kennung — verraten die Fälschung. Dies stellt eine erhebliche Herausforderung dar, da viele Entwickler unter Zeitdruck arbeiten und solche Details übersehen können.
Das Kernprinzip dieser Kampagne ist simpel, aber wirksam: Die initial hochgeladenen Erweiterungen enthalten keine Malware. Sie fungieren als “Thin Loader” und laden bösartigen Code erst bei späteren Updates nach. Diese zeitliche Entkopplung erschwert die Detektion erheblich, da Sicherheitsprüfungen zum Zeitpunkt des Uploads keinen Schaden feststellen.
Historisch hat GlassWorm mehrere Techniken eingesetzt. Frühe Attacken nutzten unsichtbare Unicode-Zeichen zur Code-Verschleierung. In einer Welle im März 2026 wurden Hunderte GitHub-Repositories und Dutzende Erweiterungen kompromittiert — eine Skalierung, die letztlich zu ihrer Entdeckung führte, da mehrere Sicherheitsteams parallell aktiv wurden.
Die Bedrohung zielt primär auf sensible Entwickler-Assets: Kryptowallet-Daten, API-Token, SSH-Schlüssel und Umgebungsvariablen. Für deutsche Softwareunternehmen und Open-Source-Mitwirkende bedeutet dies erhebliche Risiken. Ein Kompromiss kann nicht nur zu Datendiebstahl führen, sondern auch zu weiterer Malware-Verbreitung, wenn Angreifer die gestohlenen Credentials für weitere Infiltrationen nutzen.
Socket hat die vollständige Liste der 73 verdächtigen Erweiterungen veröffentlicht. Entwickler, die eine dieser Erweiterungen installiert haben, sollten sofort alle Secrets rotieren, Logs prüfen und ihre Entwicklungsumgebungen bereinigen. Das BSI wird voraussichtlich eine Warnung herausgeben. Unternehmen sollten ihre Teams sensibilisieren und regelmäßige Audits von installierten Entwicklungs-Tools durchführen — ein kritischer Punkt in der DSGVO-Compliance.