Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
React2Shell: più di 160.000 indirizzi IP vulnerabili, oltre 30 organizzazioni già colpite
CERT-AGID 29 novembre – 5 dicembre: phishing a tema Governo italiano e Agenzia delle Entrate
Iniezione indiretta di prompt: a rischio le informazioni aziendali
Dark Telegram in ritirata: aumentano le chiusure dei canali clandestini
PickleScan, scoperti tre bug 0-day che permettono di iniettare payload malevoli nei modelli ML

Torna GlassWorm, il primo worm che colpisce le estensioni di VS Code

Nov 11, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

I ricercatori di Koi Security hanno segnalato il ritorno di GlassWorm, il primo worm che colpisce le estensioni di VS Code sul marketplace OpenVSX.

Il worm era stato individuato per la prima volta quasi tre settimane fa dalla compagnia in centinaia di pacchetti software open-source. Una volta installato sui sistemi, il malware si autoreplica in altri progetti modificando i file di configurazione delle estensioni. Il worm è particolarmente difficile da contrastare perché utilizza tecniche di offuscamento avanzate, infettando il codice senza essere individuato.

Per propagarsi nella supply chain, GlassWorm individua e raccoglie le credenziali NPM, Git e GitHub, usandole poi per compromettere altri pacchetti ed estensioni. Tra le capacità più significative del worm ci sono il deploy di server proxy SOCKS sulle macchine infettate e l’installazione di server VCN per l’accesso remoto ai dispositivi.

Il 21 ottobre, pochi giorni dopo la segnalazione, OpenVSX aveva comunicato che la problematica era stata risolta; il 6 novembre, però, il team di Koi Security ha individuato una nuova ondata di infezioni del worm. Nel dettaglio, il malware è stato individuato in ai-driven-dev.ai-driven-dev, adhamu.history-in-sublime-merge e yasuyuky.transient-emacs. L’impatto stimato è di circa 10.000 infezioni aggiuntive.

I ricercatori di Koi Security sono riusciti a individuare un endpoint esposto sul server degli attaccanti ed esfiltrare dati dalla loro architettura. Dalle informazioni reperite è emerso che le vittime del worm sono diffuse in tutto il mondo; tra queste ci sono sia sviluppatori indipendenti che organizzazioni, compresa un’entità governativa del Medio Oriente.

“Non si tratta di vittime ipotetiche. Si tratta di organizzazioni reali e persone reali le cui credenziali sono state raccolte, i cui computer potrebbero essere utilizzati come infrastruttura proxy criminale e le cui reti interne potrebbero essere già state compromesse” avvertono i ricercatori.

Dai dati trovati nei server il team di Koi Security ha scoperto che gli attaccanti parlano il russo e che usano RedExt, un’estensione browser open-source per il framework C2. I ricercatori sono riusciti inoltre a entrare in possesso degli user ID di diverse piattaforme di messaggistica e di scambio di criptovalute degli attaccanti.

“GlassWorm è un esempio del perché la visibilità e la governance dell’intera catena di fornitura del software non sono più opzionali” sottolineano i ricercatori. “Quando il malware può essere letteralmente invisibile, quando i worm possono auto-propagarsi attraverso credenziali rubate, quando l’infrastruttura di attacco non può essere smantellata, gli strumenti di sicurezza tradizionali non sono sufficienti“.

Condividi l'articolo

attacco supply chain, autopropagazione, extensioni, GlassWorm, VSCode, Worm

Fantasy Hub: scoperto un nuovo RAT Android che prende il controllo totale del dispositivo Knownsec colpita da un catastrofico breach: esposti oltre 12.000 documenti sensibili