Weil GlassWorm sowohl den Microsoft VS Code Marketplace als auch Open VSX nutzte, waren auch Nutzer von VS-Code-Abkömmlingen wie Cursor, Positron, Windsurf und VSCodium betroffen. Laut CrowdStrike handelte es sich um eine vielgliedrige Kampagne, die ihren Schadcode zusätzlich über kompromittierte npm- und Python-Pakete einschleuste.
Spätere Varianten von GlassWorm setzten einen WebSocket-basierten JavaScript-RAT namens GlassWormRAT ein, der Browserdaten stiehlt und beliebigen Code ausführt. Dazu zählte auch die Installation einer Google-Chrome-Erweiterung, die ihrerseits sensible Daten wie Screenshots, Tastatureingaben und Zwischenablage-Inhalte vom infizierten System sammelte.
„Sobald sie aktiv ist, durchsucht die Schadsoftware den Host nach Entwickler-Zugangsdaten – GitHub, NPM, OpenVSX-Token und Krypto-Wallets – und ermöglicht so die weitere Kompromittierung von Repositories und das Hochladen von Paketen“, sagte Kiran Raj, Forscher bei Endor Labs. Infizierte Rechner würden in verdeckte Infrastruktur umgewandelt: SOCKS-Proxys, versteckte VNC-Server (HVNC) und Knoten zur Fernausführung über WebRTC oder gestartete Node.js-Prozesse. Das verschaffe den Angreifern anonymisierten Zugang zu Firmen- und Privatnetzen sowie eine Plattform zur weiteren Verbreitung.
Insgesamt soll die Kampagne mit gestohlenen Entwickler-Zugangsdaten mehr als 300 GitHub-Repositories verseucht haben. Bemerkenswert war laut CrowdStrike der Einsatz von vier verschiedenen C2-Kanälen, um die Infrastruktur widerstandsfähiger zu machen. Die Kombination aus Blockchain, Peer-to-Peer und legitimen Webdiensten als Auflösungsebenen sei darauf ausgelegt gewesen, Abschaltungen zu überstehen – eine dynamische Fassade, die die eigentlichen C2-Server hinter mehreren Schichten der Verschleierung schützte.
Durch die Aktion wurden alle vier Kanäle gleichzeitig ausgeschaltet, sodass infizierte Maschinen keine neuen Anweisungen oder Schadlasten mehr beziehen können. CrowdStrike beschreibt die Betreiber als „gut ausgestattet und beharrlich“ und schreibt die Aktivität mutmaßlich in Russland ansässigen Cyberkriminellen zu: Die Schadsoftware beendet ihre Ausführung auf Systemen in den Staaten der Gemeinschaft Unabhängiger Staaten (GUS) und enthält russischsprachige Kommentare.
Die Software-Lieferkette bleibe eine der folgenreichsten Angriffsflächen der modernen IT, so CrowdStrike. Gegner verwandelten die Abhängigkeit einer Organisation von Werkzeugen, Updates und Bibliotheken in waffenfähige Auslieferungsmechanismen. Die Hürde, ein Paket oder eine Erweiterung zu vergiften, sei niedrig, der mögliche Schadensradius hingegen enorm. GlassWorm zeige, dass Angreifer dies wüssten und in widerstandsfähige Infrastruktur investierten, um dauerhaften Zugang zu Entwickler-Ökosystemen zu behalten.