O registro Open VSX alternou tokens de acesso depois que eles vazaram acidentalmente por desenvolvedores em repositórios públicos e permitiu que os agentes de ameaças publicassem extensões maliciosas em um ataque à cadeia de suprimentos.
O vazamento foi descoberto por Wiz pesquisadores há duas semanas, quando relataram uma exposição de mais de 550 segredos nos mercados Microsoft VSCode e Open VSX.
Alguns desses segredos supostamente poderiam dar acesso a projetos com 150.000 downloads, permitindo que os agentes de ameaças carregassem versões maliciosas da extensão, criando um risco significativo na cadeia de suprimentos.
apelidado de ‘GlassWorm’.
Os pesquisadores da Koi Security relataram que o GlassWorm implantou um malware de autopropagação escondido em caracteres Unicode invisíveis, que tentava roubar credenciais de desenvolvedor e desencadear violações em cascata em projetos acessíveis.
Esses ataques também visaram dados de carteiras de criptomoedas de 49 extensões, indicando que o motivo dos invasores provavelmente era um ganho financeiro.
A equipe do Open VSX e a Eclipse Foundation publicaram uma postagem no blog sobre a campanha e tokens vazados, afirmando que o GlassWorm não era, de fato, auto-replicante, embora visasse as credenciais do desenvolvedor.
“O malware em questão foi projetado para roubar credenciais de desenvolvedor, que poderiam ser usadas para estender o alcance do invasor, mas não se propagou de forma autônoma por meio de sistemas ou máquinas de usuários”, esclarece a equipe do Open VSX.
“Também acreditamos que a contagem de downloads relatada de 35.800 exagera o número real de usuários afetados, pois inclui downloads inflados gerados por bots e táticas de aumento de visibilidade usadas pelos agentes de ameaças.”
Apesar disso, a ameaça foi rapidamente contida após a notificação e, a partir de 21 de outubro, todas as extensões maliciosas foram removidas do registro Open VSX e os tokens associados foram alternados ou revogados.
O Open VSX confirmou agora que o incidente está totalmente contido, sem impacto contínuo, e que planeja implementar medidas de segurança adicionais para evitar um ataque futuro.
Esses aprimoramentos de segurança estão resumidos abaixo:
- Reduza a vida útil do token para reduzir o impacto da exposição.
- Introduza fluxos de trabalho de revogação mais rápidos para credenciais vazadas.
- Execute verificações de segurança automatizadas para extensões durante a publicação.
- Colabore com o VS Code e outros mercados para compartilhar inteligência de ameaças.
O BleepingComputer enviou um e-mail à Eclipse Foundation para perguntar quantos tokens foram rotacionados no total, mas uma declaração não estava disponível imediatamente.
Entretanto Aikido denunciado que os mesmos agentes de ameaças por trás do GlassWorm agora se mudaram para o GitHub, onde empregam o mesmo truque de esteganografia Unicode para ocultar sua carga maliciosa.
Os pesquisadores relatam que a operação já se espalhou para vários repositórios, a maioria dos quais está focada em projetos JavaScript.
O pivô para o GitHub indica que a ameaça permanece ativa, girando rapidamente entre ecossistemas de código aberto após a exposição.
