GlassWorm v2: 73 estensioni VS Code fake scoperte su Open VSX
Scoperto un cluster di 73 estensioni malevole su Open VSX legate a GlassWorm v2. Gli attaccanti usano sleeper packages per eludere i controlli di sicurezza.
Contenuto
Scopri anche
- Frode IRSF via fake CAPTCHA: analisi della campagna attiva dal 2020
- AI 2026: l'impatto concreto sul mercato del lavoro e la transizione dai progetti pilota alla produzione
- Privacy, multa da 12,5 milioni a Poste: le app spiavano tutto
- Router LLM: vulnerabilità nella supply chain AI, allarme LiteLLM
- CISA website offline per fondi: rischio sicurezza nazionale
- Milla Jovovich lancia Mem-Palace, sistema di memoria IA open source con punteggio record nei benchmark
- L'intelligenza artificiale nella sicurezza del software: opportunità, rischi e trasformazione del ruolo degli sviluppatori
- Attacco Itron aprile 2026: analisi cybersecurity e gap nella trasparenza
- FIRESTARTER: analisi del malware che colpisce i firewall Cisco
- L'AI nella programmazione: tra produttività e paradossi, il futuro degli sviluppatori
- CISA senza fondi: sito non gestito tra avvisi critici su Cina e Iran
- ShadowMountPlus e Poops-PS5-Java: nuovi strumenti per la gestione di dump ed exploit kernel su PlayStation 5
- AI Act 2026: 100 giorni alle sanzioni, il ritardo italiano
- CISA: sito inattivo per funding lapse, pubblicato report AR26-113a su FIRESTARTER
- ShadowMountPlus e Poops-PS5-Java: nuovi strumenti per la scena PlayStation 5
- 360 Digital Security: l'IA scopre quasi 1.000 bug zero-day, sfida Anthropic
- CISA blocca il sito per mancati fondi: paradosso cyber USA
- Claude Code: dal leak del codice sorgente alla creazione autonoma di exploit kernel
- Minacce cyber Iran: gli USA ridimensionano il rischio 'shock and awe'
- Lumen Field: specifiche tecniche, ingegneria sismica e certificazioni dell'impianto Seattle
Settantatre estensioni false sono state identificate sul repository Open VSX, collegate alla campagna di furto di informazioni GlassWorm v2. La scoperta, resa nota il 27 aprile 2026 dai ricercatori di cybersecurity, evidenzia un'evoluzione tattica significativa: l'uso di "sleeper packages" per costruire fiducia nel tempo prima di attivare il malware.
Socket, azienda specializzata in sicurezza software, ha classificato il cluster come GlassWorm v2. Sei estensioni sono state confermate come attivamente malevole, mentre le altre funzionano come pacchetti dormienti, pubblicati per accumulare credibilità prima di ricevere aggiornamenti malevoli.
Come operano i "sleeper packages"
La strategia alla base di questa campagna rappresenta un cambiamento rispetto agli approcci tradizionali. Invece di distribuire immediatamente malware, gli attaccanti pubblicano estensioni apparentemente legittime che non contengono codice malevolo al momento dell'installazione. Questi pacchetti vengono creati da account GitHub appena registrati, con uno o due repository pubblici.
Le estensioni utilizzano tecniche di typosquatting e copiano icone e descrizioni delle versioni originali per creare quella che i ricercatori definiscono "visual trust". I nomi delle due estensioni confermate come malevole sono: 'outsidestormcommand.monochromator-theme' e 'keyacrosslaud.auto-loop-for-antigravity'.
Socket ha spiegato il meccanismo tecnico: "This approach achieves the same outcome as the binary-based variant, but keeps the delivery logic in obfuscated JavaScript. The extension acts as a loader, while the payload is retrieved and executed after activation."
La propagazione cross-IDE
Una volta attivato, il payload viene recuperato da GitHub e installato in ogni IDE individuato nel sistema. Il comando '--install-extension' consente al malware di diffondersi su VS Code, Cursor, Windsurf e VSCodium senza richiedere interazione da parte dell'utente.
L'obiettivo finale della campagna è multiplo: evitare i sistemi localizzati in Russia, rubare dati sensibili dall'ambiente di sviluppo, installare un RAT (Remote Access Trojan) e distribuire un'estensione Chromium rogue progettata per sottrarre credenziali.
La cronologia della campagna GlassWorm
Il monitoraggio degli artefatti collegati a GlassWorm ha inizio il 21 dicembre 2025. Da quella data, i ricercatori hanno identificato oltre 320 artefatti totali legati alla campagna. Tutte le 73 estensioni del nuovo cluster sono state pubblicate all'inizio di aprile 2026.
In precedenza, il 17 ottobre 2025, sette estensioni OpenVSX erano già state compromesse nella prima fase degli attacchi, registrando un totale di 35.800 download. Dieci estensioni stavano ancora distribuendo malware attivamente al momento di quella scoperta.
La campagna GlassWorm si è dimostrata capace di autosostenersi e propagarsi in modo autonomo, combinando codice invisibile, command-and-control basato su blockchain e funzionalità RAT complete. Gli attaccanti hanno colpito principalmente il marketplace Open VSX, con un'istanza rilevata anche sul Microsoft VS Code Marketplace, successivamente rimossa.
Il contesto delle supply chain attack
Gli attacchi alla catena di approvvigionamento software sono diventati un vettore sempre più sfruttato. GlassWorm rappresenta un'evoluzione rispetto ai compromessi one-off: costruisce malware autonomo e auto-propagante in grado di diffondersi rapidamente attraverso gli aggiornamenti normali delle estensioni e i meccanismi delle dipendenze.
Gli utenti che avevano installato estensioni infette sono stati compromessi immediatamente, poiché GlassWorm era già una minaccia attiva prima della sua scoperta. La natura self-propagating del malware, unita alla logica di consegna in JavaScript offuscato, rende il rilevamento particolarmente complesso per i controlli di sicurezza tradizionali.
Domande frequenti
- Cosa sono i "sleeper packages" nel malware GlassWorm v2?
- Sono estensioni pubblicate come apparentemente legittime, senza codice malevolo iniziale. Vengono usate per costruire fiducia e ricevere aggiornamenti malevoli successivamente, eludendo i controlli di sicurezza al momento della pubblicazione.
- Quali IDE sono bersaglio di GlassWorm v2?
- Il malware prende di mira VS Code, Cursor, Windsurf e VSCodium, installandosi automaticamente tramite il comando '--install-extension' in ogni IDE rilevato sul sistema.
- Quante estensioni malevole sono state scoperte su Open VSX?
- Sono state identificate 73 estensioni false collegate a GlassWorm v2. Sei sono confermate come attivamente malevole, mentre le altre funzionano come sleeper packages.
Questo articolo è una sintesi basata esclusivamente sulle fonti elencate.
Fonti
- https://www.truesec.com/hub/blog/glassworm-self-propagating-vscode-extension
- https://socket.dev/blog/73-open-vsx-sleeper-extensions-glassworm
- https://thehackernews.com/2026/04/researchers-uncover-73-fake-vs-code.html
- https://fluidattacks.com/blog/glassworm-vs-code-extensions-supply-chain-attack
- https://www.hendryadrian.com/73-open-vsx-sleeper-extensions-linked-to-glassworm-show-new-malware-activations/