Seit ein paar Tagen läuft ein Supply-Chain-Angriff über die Marktplätze von Visual Studio Code. Betroffen sind sowohl der Marketplace von Microsoft als auch der alternative Open-VSX-Marktplatz der Eclipse Foundation.
Das auf Endpoint-Security spezialisierte Unternehmen Koi hat eine sich selbst verbreitende Schadsoftware entdeckt und GlassWorm getauft. Die Malware greift nicht nur Zugangsdaten ab, sondern nutzt den Zielrechner mit einem Remote-Access-Trojaner als Proxy-Knoten.
Zumindest im Open-VSX-Marktplatz sind nach wie vor infizierte Pakete vorhanden. Wie die im September auf npm gefundene Schadsoftware Shai Hulud vermehrt sich GlassWorm selbst und nutzt dazu neben der Open VSX Registry unter anderem GitHub und npm.
Koi hat die Malware erstmals in der Open VSX Extension CodeJoy entdeckt. Auf den ersten Blick sieht CodeJoy wie eine reguläre Erweiterung aus, die ein paar nützliche Tools mitbringt. In Version 1.8.3 zeigt die Extension dann erstmals verdächtiges Verhalten wie Netzwerkzugriffe, die nichts mit den eigentlichen Funktionen zu tun hatten.
Wer in Visual Studio Code extensions.autoUpdate aktiviert, erhält automatisch Updates aller Extensions, inklusive potenzieller Malware. Dass scheinbar nützliche Software erst per Update Schadcode erhält, ist keine Seltenheit.
Die Schadfunktionen von GlassWorm sind äußerst gut versteckt. Die Malware setzt nicht einfach auf die üblichen Verschleierungstechniken oder mehrfach indirektes Nachladen, sondern enthält unsichtbaren Code dank nicht darstellbarer Unicode-Zeichen. Offenbar ist das mit dem Unicodeblock Variantenselektoren gelungen.
Laut dem Koi-Blog ist der Code nicht nur für menschliche Reviewer, sondern auch für statische Codeanalysewerkzeuge unsichtbar, aber der JavaScript-Interpreter führt den versteckten Code aus. Das Vorgehen ist neu, und der unsichtbare Code ist der Grund dafür, dass Koi die Schadsoftware GlassWorm getauft hat.
Auch beim Command-and-Control-Server (C2-Server) geht GlassWorm neue Wege: Die Extensions nutzen die Solana-Blockchain als Infrastruktur, also eine öffentliche Blockchain. Darüber besorgen sie sich Links im Base64-Format auf den weiteren Payload mit der eigentlichen Schadsoftware.
Für die Angreifer hat die Blockchain zahlreiche Vorteile: Sie ist verteilt und bietet unveränderliche, anonyme Transaktionen. Außerdem lässt sich die C2-Infrastruktur nicht abschalten: Wenn jemand den auf der Blockchain abgelegten C2-Server abschaltet, können die Angreifer eine Transaktion mit einer neuen Adresse veröffentlichen, auf der sich die Schadsoftware anschließend bedient.
Der von GlassWorm über die Infrastruktur nachgeladene Payload besteht wohl aus AES-256-CBC-verschlüsseltem Code. Der zugehörige Schlüssel findet sich direkt in den HTTP-Response-Headern, wodurch er sich dynamisch verteilen lässt.
Der Schadcode sucht schließlich nach Credentials für diverse Developer-Plattformen und nutzt sie, um sich weiterzuverbreiten.
GlassWorm nutzt npm-Authentifizierungs-Token, um Pakete mit Schadcode auf dem JavaScript-Paketmanager zu veröffentlichen. GitHub-Token und Git-Credentials dienen ihm dazu, legitime Repositorys zu kompromittieren. Zugangsdaten zu Open VSX nutzt die Malware, um weitere Visual-Studio-Code-Erweiterungen mit Schadcode zu veröffentlichen.
Schließlich sucht die Software nach Zugangsdaten für Kryptowährungen. Und als Bonus enthält sie einen Link auf den Google-Kalender, der ein raffinierter Backupmechanismus für die C2-Infrastruktur ist.
In dem Kalender-Link findet sich eine weitere URL im Base64-Format, die sogar im Verzeichnisnamen /get_zombi_payload/ die Funktion offenbart: Der heruntergeladene, verschleierte und verschlüsselte Code zeigt sich als Remote-Access-Trojaner. Der infizierte Rechner wird zum SOCKS-Proxy-Server und öffnet damit den Zugriff auf den firmeninternen Nertzwerkverkehr.
Die Steuerung erfolgt über Peer-to-Peer-Verbindungen via WebRTC. Und wieder liegen die Befehle nicht auf einem einzelnen C2-Server, sondern die Angreifer verteilen sie über BitTorrent.
Koi hat den Schadcode am 17. Oktober 2025 entdeckt und zunächst sieben infizierte Extensions in der Open VSX Registry gefunden. Kurz danach tauchten weitere betroffene Erweiterungen sowohl dort als auch im VS Code Marketplace auf. Das Unternehmen zählte insgesamt 35.800 Installationen.
Der Koi-Blog listet im Anhang die Namen der gefundenen Pakete, die bekannten Payload-URLs sowie der Solana-Wallet und -Transaktion auf.
Wer eins der betroffenen Pakete installiert hat, muss davon ausgehen, dass sich die Schadsoftware auf seinem System befindet. Dasselbe gilt für Zugriffe auf die bekannten Adressen von C2-Servern und die betroffene Solana-Wallet.
(
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo
Kommentare