Eine raffinierte Schadsoftware namens „GlassWorm“ verbreitet sich über Erweiterungen für den Code-Editor Visual Studio Code (VS Code) auf dem Open VSX-Marktplatz. Die Malware nutzt extensionpacks, um zunächst eigenständig wirkende Erweiterungen in späteren Updates umzuwandeln.

Der Vorfall

Sicherheitsforscher haben eine massive Kampagne identifiziert, bei der mindestens 72 bösartige Erweiterungen auf dem OpenVSX-Marktplatz entdeckt wurden. Die Angreifer nutzen dabei eine perfide Taktik: Sie veröffentlichen zunächst harmlose Erweiterungen, die erst durch spätere Updates Schadcode nachladen oder andere bösartige Pakete als notwendige Abhängigkeit („extensionPack“) installieren. Die Erweiterungen imitieren überwiegend weit verbreitete Entwickler-Tools: linters und formatters wie ESLint und Prettier, Code-Runner, beliebte language toolings für Angular, Flutter, Python und Vue sowie gängige Komfort-Erweiterungen wie vscode-icons, WakaTime und Better Comments. Besonders auffällig ist, dass die Kampagne auch KI-Entwickler-Tools ins Visier nimmt, mit Erweiterungen, die Claude Code, Codex und Antigravity angreifen.

Die Technik: Der unsichtbare Angriff

Das Besondere an GlassWorm ist die Tarnung. Die Malware nutzt spezielle, nicht druckbare Unicode-Zeichen, um den schädlichen JavaScript-Code im Editor buchstäblich unsichtbar zu machen. Für einen menschlichen Entwickler sieht die Datei völlig normal aus, während der Computer im Hintergrund die versteckten Befehle ausführt.
Zusätzlich nutzt die Malware eine extrem widerstandsfähige Infrastruktur zur Steuerung:

• Die C2 Solana Blockchain: Die Angreifer nutzen die Solana-Blockchain, um Befehle zu senden. Da die Blockchain dezentral ist, kann diese Verbindung von Sicherheitsbehörden nicht einfach abgeschaltet werden.

Die Gefahr für betroffene Systeme

GlassWorm ist als sogenannter „Wurm“ konzipiert, der sich selbstständig weiterverbreitet. Einmal installiert, führt er folgende Aktionen aus:

• Diebstahl von Zugangsdaten: Er sucht gezielt nach Passwörtern und Token für GitHub, NPM und Git sowie nach Zugängen zu über 40 verschiedenen Krypto-Wallets.
• Fernsteuerung (RAT): Die Malware installiert versteckte Fernwartungs-Software, mit der Angreifer den Rechner komplett übernehmen können, ohne dass der Nutzer es bemerkt.
• Missbrauch als krimineller Proxy: Infizierte Entwickler-Laptops werden als Zwischenstationen (SOCKS-Proxys) für weitere kriminelle Aktivitäten missbraucht, was die Spurenabwehr der Täter verschleiert.