GlassWorm nasconde malware in temi VS Code: oltre 8.000…

Socket Threat Research ha identificato una campagna del gruppo GlassWorm che distribuisce malware attraverso estensioni tema per Visual Studio Code, pubblicate sia

{"main_topic":"cybersecurity","topics":["cybersecurity","malware","supply-chain","vscode","developer-tools"]}

Socket Threat Research ha identificato una campagna del gruppo GlassWorm che distribuisce malware attraverso estensioni tema per Visual Studio Code, pubblicate sia sul Visual Studio Marketplace che sul registro Open VSX. La scoperta, resa pubblica il 5 ottobre 2026, dimostra come i temi di colore — normalmente considerati innocui perché limitati a file dichiarativi — possano essere weaponizzati sfruttando la capacità del formato VS Code di dichiarare entry point JavaScript eseguibili. Il meccanismo ha consentito agli operatori di raggiungere migliaia di sviluppatori con pacchetti apparentemente legittimi, sfruttando una falla strutturale nei marketplace di estensioni: la mancata verifica della corrispondenza tra repository pubblico e artefatto distribuito.

Punti chiave

Le estensioni tema 'Cosmic Nebula Themes' e 'Aurora Nocturne Night Theme' contenevano loader JavaScript offuscati con caratteri Unicode invisibili e cifratura AES-256-CBC, secondo l'analisi di Socket Threat Research.
Il loader di Cosmic Nebula verificava lingua e timezone russa prima di proseguire, uscendo silenziosamente su sistemi russi; sui rimanenti, recuperava l'infrastruttura C2 interrogando memo di transazioni sulla blockchain Solana.
Due temi correlati — 'Coca-Cola Christmas' e 'Aurora Borealis Studio Theme' — avevano superato le 8.000 installazioni su Visual Studio Marketplace; i pacchetti Open VSX collegati avevano registrato decine di migliaia di download.
Microsoft ha rimosso le estensioni segnalate dal Marketplace dopo la disclosure di Socket, ma la campagna GlassWorm più ampia aveva già compromesso 72 estensioni Open VSX aggiuntive a partire dal 31 gennaio 2026, secondo The Hacker News.

Perché un tema di colore può eseguire codice

Il modello di estensione di VS Code non distingue a livello architetturale tra temi e plugin funzionali: entrambi possono dichiarare un entry point JavaScript nel manifest. Questo meccanismo legittimo — usato da temi avanzati che offrono personalizzazioni dinamiche — è stato abusato da GlassWorm per iniettare payload malevoli in pacchetti che gli sviluppatori installano senza audit.

Il tema 'Cosmic Nebula Themes' conteneva un loader a stadi che decifrava un payload embedded tramite AES-256-CBC e lo eseguiva via eval(). Socket Threat Research ha confermato con alta confidenza il collegamento con le operazioni GlassWorm, rilevando la stessa chiave AES e il medesimo modello di esecuzione già documentati in campagne precedenti del gruppo. Il tema 'Aurora Nocturne Night Theme', rimosso in precedenza dal Marketplace, impiegava caratteri Unicode zero-width per nascondere un downloader Windows che contattava il dominio fingercakes4sale[.]store e scriveva un file batch in %TEMP%\temp_batch.cmd per esecuzione silenziosa.

L'offuscamento invisibile: 6.492 caratteri che non si vedono

Endor Labs ha documentato la tecnica di offuscamento centrale della campagna: l'uso di Unicode Variation Selectors per codificare payload eseguibili in sorgenti apparentemente benigni. I caratteri U+FE00-U+FE0F e U+E0100-U+E01EF venivano mappati a byte values attraverso un'aritmetica di codepoint — offset di +16 per il piano supplementare — ricostruendo un blob Base64 da 6.492 caratteri invisibili. Il blob, una volta decodificato, rivelava JavaScript eseguibile.

Questo metodo sfugge alla revisione umana e a molti strumenti di scansione statica: il file sorgente appare come testo normale o JSON valido, mentre il payload è letteralmente invisibile. Il commit di fix su GitHub identificato nel dossier conferma il pattern tecnico con variabili dichiarate in cinese, dimostrando la replicabilità della tecnica al di fuori del campione specifico di GlassWorm.

"marketplace reputation, polished branding, and a benign public repository do not establish that the distributed extension package is safe"

La citazione di Socket, riportata da GBHackers, colpisce il problema strutturale: il repository pubblico collegato a un'estensione può essere pulito, mentre l'artefatto distribuito tramite il marketplace contiene codice diverso. Nessun meccanismo di verifica automatica impedisce questa discrepanza.

Il dead drop su Solana e la geofiltriazione russa

Una componente distintiva del loader è il recupero dinamico dell'infrastruttura C2 attraverso la blockchain Solana. L'indirizzo BjVeAjPrSKFiingBn4vZvghsGj9KCE8AJVtbc9S8o8SC veniva interrogato per estrarre memo di transazione contenenti coordinate di server successivi. Questa tecnica di dead drop decentralizzata rende il C2 resistente al takedown: anche se un server viene dismesso, il malware recupera l'indirizzo successivo dalla blockchain immutabile.

Parallelamente, il loader implementava un controllo di geolocalizzazione linguistico-temporale. La verifica della lingua e della timezone russa — con uscita immediata su sistemi corrispondenti — è coerente con l'attribuzione di CrowdStrike, che colloca gli operatori GlassWorm probabilmente in Russia. Il meccanismo serve a ridurre l'esposizione legale e a limitare l'analisi da parte di sandbox domestiche.

Il payload finale ZOMBI, documentato da Endor Labs, include socket.io-client e bittorrent-dht per un C2 ulteriormente decentralizzato: il malware interroga la rete DHT usando una chiave pubblica per localizzare il server di comando, rendendo l'infrastruttura ridondante e senza singolo punto di fallimento. Il bundle conteneva oltre 147 pacchetti, indicando una complessità modulare significativa.

Cosa fare adesso

Le organizzazioni che gestiscono ambienti di sviluppo dovrebbero agire su quattro fronti prioritar:

Inventariare tutte le estensioni VS Code attualmente installate, inclusi i temi, verificando la provenienza publisher e la corrispondenza tra versione Marketplace e eventuale repository pubblico.
Ispezionare i file di estensione locali nella cartella ~/.vscode/extensions o equivalente: la presenza di file JavaScript eseguibili in temi dichiarativi è anomala e merita analisi.
Audire le estensioni con installazioni recenti che presentino nomi a tema commerciale o stagionale (es. riferimenti a brand noti o festività), pattern ricorrente nei pacchetti GlassWorm identificati.
Implementare controlli sui domini di contatto noti, incluso fingercakes4sale[.]store, e monitorare traffico verso endpoint Solana non giustificato da operazioni legittime.

Il limite della fiducia visiva

La campagna GlassWorm sui temi VS Code svela un paradosso della sicurezza percepita: gli sviluppatori — professionisti abituati a valutare il rischio di dipendenze software — concedono implicitamente fiducia alle estensioni che non promettono funzionalità. Un tema che cambia solo i colori sembra non avere superficie d'attacco, e proprio questa percezione lo rende ideale per l'infiltrazione.

Il limite del dossier attuale non consente di quantificare le compromissioni effettive: Socket non ha recuperato il payload finale specifico per i temi VS Code, limitandosi al secondo stadio, e la fonte non specifica il numero di sviluppatori effettivamente colpiti. Non è inoltre chiaro se l'analisi Endor Labs si riferisca allo stesso identico campione dei temi o a un vettore GlassWorm parallelo. Resta documentato che il takedown dei server operato a maggio 2026, citato da SecurityOnline.info attraverso CrowdStrike, non ha rimosso le estensioni già pubblicate — che continuavano a essere disponibili e installabili.

La campagna più ampia, con 72 estensioni Open VSX aggiuntive scoperte dal 31 gennaio 2026, indica che il vettore tema è una evoluzione tattica all'interno di un'operazione più vasta, non un incidente isolato. L'uso coordinato di offuscamento Unicode, dead drop blockchain e C2 decentralizzato BitTorrent DHT posiziona GlassWorm tra i gruppi più sofisticati nell'abuso della supply chain degli strumenti di sviluppo.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter