Исследователи кибербезопасности зафиксировали очередной этап развития кампании GlassWorm, ориентированной на разработчиков. Злоумышленники внедрили новый Zig‑дроппер в поддельное расширение для Visual Studio Code, которое способно незаметно заразить практически все интегрированные среды разработки (IDE) на рабочей станции разработчика.
Новая волна кампании GlassWorm: подделка популярного трекера активности
Атака обнаружена в расширении Open VSX под названием «specstudio.code-wakatime-activity-tracker», которое маскировалось под легитимный инструмент WakaTime — популярный сервис для измерения времени, проводимого программистом в IDE. Расширение уже удалено из репозитория и недоступно для загрузки, однако пользователи, успевшие его установить, остаются под угрозой компрометации.
Функциональность поддельного плагина практически полностью копирует оригинальный WakaTime, что затрудняет обнаружение подмены. Ключевые отличия скрыты в функции activate(), где и запускается вредоносная логика.
Как работает Zig‑дроппер и почему он опасен
При установке расширение добавляет на систему нативный бинарный файл: «win.node» для Windows или «mac.node» (универсальный бинарный Mach‑O) для macOS. Это нативные расширения Node.js, скомпилированные на языке Zig и подключающиеся напрямую к рантайму Node, обходя песочницу JavaScript и получая полноценный доступ к операционной системе.
GlassWorm уже применял нативный скомпилированный код внутри расширений, однако теперь бинарник используется не как основной полезный нагрузчик, а как незаметный «прокси»‑дроппер. Его задача — тихо развернуть известный компонент кампании, а затем распространить вредоносный код на все совместимые IDE, обнаруженные в системе.
Кого затрагивает атака: перечень IDE под угрозой
После загрузки дроппер сканирует систему в поисках всех IDE, которые поддерживают расширения формата VS Code. Под угрозой оказываются не только Microsoft Visual Studio Code и VS Code Insiders, но и его форки и производные проекты, такие как:
- VSCodium
- Positron
- Cursor
- Windsurf
- и другие IDE и AI‑ассистированные редакторы, совместимые с VSIX‑расширениями
Такая стратегия превращает единичную установку поддельного расширения в точку входа для массового заражения всей разработческой экосистемы на конкретной машине.
Цепочка заражения: от GitHub до кражи данных и Chrome‑расширения
Загрузка вредоносного VSIX с GitHub
Обнаруженный Zig‑дроппер загружает дополнительное расширение VS Code (.VSIX) из репозитория на GitHub, контролируемого атакующими. Это расширение называется «floktokbok.autoimport» и маскируется под популярный модуль «steoates.autoimport», имеющий миллионы установок в официальном Visual Studio Marketplace. Подмена имени и функциональности снижает вероятность того, что разработчик или система защиты заметит аномалию.
Фоновая установка во все IDE и функции второго этапа
Загруженный файл .VSIX записывается во временный каталог, после чего тихо устанавливается во все найденные IDE через их CLI‑установщики. На этом этапе вступает в действие второй вредоносный компонент — расширение‑дроппер, которое выполняет несколько задач:
- гео‑фильтрация — вредоносный код запрограммирован не выполняться на системах с российской локализацией или географией;
- получение C2 через блокчейн Solana — для определения адреса сервера управления используется децентрализованная инфраструктура, что усложняет блокировку и отслеживание;
- эксфильтрация чувствительных данных — сбор и передача конфиденциальной информации разработчикам атакующей стороны;
- установка RAT (Remote Access Trojan) — обеспечение удалённого доступа к системе жертвы;
- развёртывание вредоносного расширения Google Chrome — финальный этап, ориентированный на кражу учётных данных, cookies и другой чувствительной информации из браузера.
Риски для разработчиков и цепочки поставок ПО
Комбинация маскировки под популярные расширения, использования нативных Zig‑бинарников и развертывания через экосистему VS Code превращает GlassWorm в типичный пример атаки на программную цепочку поставок (software supply chain). Под угрозой оказываются не только персональные данные разработчиков, но и секреты проектов: токены доступа к репозиториям, ключи API, учётные данные CI/CD и облачных платформ.
С учётом повсеместного использования VS Code и совместимых IDE, такие кампании способны быстро масштабироваться и приводить к компрометации корпоративных и open source проектов, если не внедрены дополнительные меры контроля целостности и доверия к расширениям.
Пользователям, которые устанавливали «specstudio.code-wakatime-activity-tracker» или «floktokbok.autoimport», рекомендуется исходить из предположения о полном компрометировании среды разработки и незамедлительно:
- удалить подозрительные расширения из всех IDE на машине;
- провести проверку системы на наличие RAT и других вредоносных компонентов с помощью актуальных средств защиты;
- сменить все пароли и ротационировать секреты (токены, ключи, API‑ключи, SSH‑ключи);
- перегенерировать скомпрометированные токены доступа в GitHub, GitLab, облаках и других сервисах разработки;
- переустановить Chrome‑расширения, уделив внимание неожиданно появившимся или неизвестным модулям.
Чтобы снизить риск подобных атак в будущем, разработчикам и командам стоит выработать политику доверенной установки расширений: использовать только официальные маркетплейсы, проверять имя издателя, количество установок и отзывы, а также регулярно проводить аудит установленных плагинов. Инвестиции во внутренние практики безопасности разработчиков (SSDLC, контроль секретов, минимизация прав доступа, мониторинг аномалий) становятся ключевым инструментом защиты не только конкретного программиста, но и всей цепочки поставок программного обеспечения.
