Seit einigen Tagen läuft ein Supply-Chain-Angriff über die Visual Studio Code-Marktplätze. Betroffen sind sowohl der Microsoft Marketplace als auch der alternative Open VSX-Marktplatz der Eclipse Foundation.
Lesen Sie mehr nach der Anzeige
Das auf Endpoint-Sicherheit spezialisierte Unternehmen Koi hat eine sich selbst verbreitende Schadsoftware entdeckt und ihr den Namen GlassWorm gegeben. Die Schadsoftware fängt nicht nur Zugangsdaten ab, sondern nutzt den Zielrechner mit einem Fernzugriffstrojaner auch als Proxy-Knoten.
Infizierte Pakete sind immer noch vorhanden, zumindest auf dem Open VSX-Marktplatz. Wie die Schadsoftware Shai Hulud, die im September auf npm gefunden wurde, reproduziert sich GlassWorm selbst und nutzt neben der Open VSX Registry unter anderem GitHub und npm.
Schadsoftware per Update
Koi entdeckte die Malware erstmals in der Open-VSX-Erweiterung CodeJoy. Auf den ersten Blick sieht CodeJoy wie eine normale Erweiterung aus, die einige nützliche Tools enthält. In der Version 1.8.3 zeigt die Erweiterung erstmals verdächtiges Verhalten, etwa Netzwerkzugriffe, die nichts mit den eigentlichen Funktionen zu tun hatten.
Wer in Visual Studio Code extensions.autoUpdate aktiviert, erhält automatisch Updates aller Erweiterungen, einschließlich potenzieller Malware. Es kommt nicht selten vor, dass vermeintlich nützliche Software nach einem Update nur Schadcode erhält.
Unsichtbarer Schadcode
Lesen Sie mehr nach der Anzeige
Die schädlichen Funktionen von GlassWorm sind äußerst gut versteckt. Die Malware setzt nicht einfach auf die üblichen Verschleierungstechniken oder mehrfaches indirektes Nachladen, sondern enthält dank nicht darstellbarer Unicode-Zeichen unsichtbaren Code. Anscheinend wurde dies mit den Unicode-Blockvariantenselektoren erreicht.
Laut dem Koi-Blog ist der Code nicht nur für menschliche Prüfer, sondern auch für statische Code-Analysetools unsichtbar, aber der JavaScript-Interpreter führt den versteckten Code aus. Der Ansatz ist neu und der unsichtbare Code ist der Grund, warum Koi die Malware GlassWorm genannt hat.
Kein gewöhnlicher C2-Server
Auch beim Command-and-Control-Server (C2-Server) geht GlassWorm neue Wege: Als Infrastruktur nutzen die Erweiterungen die Solana-Blockchain, also eine öffentliche Blockchain. Damit erhalten sie Links im Base64-Format auf die zusätzliche Nutzlast mit der eigentlichen Schadsoftware.
Für Angreifer bietet die Blockchain zahlreiche Vorteile: Sie ist verteilt und bietet unveränderliche, anonyme Transaktionen. Zudem lässt sich die C2-Infrastruktur nicht abschalten: Schaltet jemand den auf der Blockchain hinterlegten C2-Server ab, können die Angreifer eine Transaktion mit einer neuen Adresse veröffentlichen, die die Schadsoftware dann nutzt.
Anmeldeinformationen schnappen und als Wurm arbeiten
Die von GlassWorm über die Infrastruktur nachgeladene Nutzlast besteht wahrscheinlich aus AES-256-CBC-verschlüsseltem Code. Der zugehörige Schlüssel befindet sich direkt in den HTTP-Antwortheadern und kann somit dynamisch verteilt werden.
Der Schadcode sucht schließlich nach Zugangsdaten für verschiedene Entwicklerplattformen und nutzt diese zur weiteren Verbreitung.
GlassWorm verwendet npm-Authentifizierungstoken, um Pakete mit Schadcode im JavaScript-Paketmanager zu veröffentlichen. GitHub-Tokens und Git-Anmeldeinformationen werden verwendet, um legitime Repositorys zu kompromittieren. Die Malware verwendet Open VSX-Anmeldeinformationen, um zusätzliche Visual Studio Code-Erweiterungen zu veröffentlichen, die schädlichen Code enthalten.
Abschließend sucht die Software nach Zugangsdaten für Kryptowährungen. Und als Bonus enthält es einen Link zu Google Kalender, einem praktischen Backup-Mechanismus für die C2-Infrastruktur.
Zombie(s) als Bonus
Im Kalenderlink findet sich eine weitere URL im Base64-Format, die sogar die Funktion im Verzeichnisnamen /get_zombi_payload/ verrät: Der heruntergeladene, verschleierte und verschlüsselte Code erweist sich als Remote-Access-Trojaner. Der infizierte Computer wird zum SOCKS-Proxyserver und öffnet so den Zugriff auf den unternehmensinternen Netzwerkverkehr.
Die Steuerung erfolgt über Peer-to-Peer-Verbindungen über WebRTC. Und auch hier liegen die Befehle nicht auf einem einzelnen C2-Server, sondern die Angreifer verteilen sie über BitTorrent.
Aktiver Glaswurm
Koi entdeckte den Schadcode am 17. Oktober 2025 und fand zunächst sieben infizierte Erweiterungen in der Open VSX Registry. Kurz darauf tauchten sowohl dort als auch im VS Code Marketplace weitere betroffene Erweiterungen auf. Insgesamt zählte das Unternehmen 35.800 Installationen.
Der Koi-Blog listet im Anhang die Namen der gefundenen Pakete, die bekannten Payload-URLs sowie das Solana-Wallet und die Transaktion auf.
Wer eines der betroffenen Pakete installiert hat, muss davon ausgehen, dass sich die Schadsoftware auf seinem System befindet. Gleiches gilt für den Zugriff auf die bekannten Adressen von C2-Servern und dem betroffenen Solana-Wallet.
(rme)