新型自传播 “玻璃蠕虫”（GlassWorm）攻击 VS Code 插件供应链，近 3.6 万台设备已遭殃

图片

一种具备自我传播能力的恶意蠕虫正针对 Visual Studio Code（简称 VS Code）插件发动复杂的供应链攻击。截至目前，已有 35800 台开发者设备被感染，其采用的攻击技术连研究人员都表示 “此前从未在实际场景中见过”。

01 恶意软件 “玻璃蠕虫” 的发现始末

Koi Security 的研究人员于 10 月 18 日发现了这款名为 “GlassWorm” 的恶意软件。据该公司首席技术官兼联合创始人伊丹・达迪克曼（Idan Dardikman）在周六发布的博客文章介绍，研究团队最初在 OpenVSX 市场（微软官方 VS Code 市场的开源替代平台）上关注到一款名为 CodeJoy 的插件，该插件 “出现了一系列可疑的行为变化”，进一步调查后确认其已被恶意软件感染。

达迪克曼在博客中指出，这款恶意软件的隐蔽性远超常规 — 它并非通过代码混淆或隐藏在压缩文件中逃避检测，而是利用了 “在代码编辑器中无法显示的可打印 Unicode 字符”，使得恶意代码 “真正实现了肉眼不可见”。“你可以直视包含恶意代码的文件，却什么异常都发现不了。” 他解释道，“那些账号被盗用的开发者很可能查看过文件，看到的却是看似正常的合法代码，完全不知道自己即将向数百名用户分发恶意软件。”

02 “玻璃蠕虫” 的核心攻击手段与危害

经过深入分析，研究人员发现 GlassWorm 具备多重危险特性，其攻击链条和破坏能力极为复杂：

1. 双命令与控制（C2）服务器架构以索拉纳（Solana）区块链作为主要 C2 服务器，同时将谷歌日历作为备用命令服务器，确保攻击指令能稳定传递。
2. 多平台凭证窃取专门窃取 NPM、GitHub、Git 等开发工具的凭证信息，用于进一步渗透软件供应链，扩大攻击范围。
3. 加密货币钱包定向攻击直接瞄准开发者设备中的加密货币钱包，存在资产被盗风险。
4. 构建恶意代理网络部署 SOCKS 代理服务器，将被感染的开发者设备转化为 “扩展 C2 基础设施”，为后续攻击提供跳板。
5. 远程完全控制安装隐藏的虚拟网络计算（VNC）服务器，攻击者可对设备进行全面远程操控。
6. 自我传播能力利用窃取的凭证入侵更多软件包和插件，实现 “受害者变传播者” 的蠕虫式扩散，区别于一次性感染的普通恶意软件。

此外，GlassWorm 的传播范围已从 OpenVSX 市场扩散至微软官方 VS Code 市场。不过达迪克曼表示，Koi Security 向微软举报后，微软已立即移除了涉恶意代码的插件。截至 10 月 20 日，10 月 17 日首批被感染的插件中，仍有 3 款在传播恶意软件，另有 4 款虽已更新至干净版本，但旧的恶意版本仍在网上可供下载，存在二次感染风险。

03 为何 “玻璃蠕虫” 被称为 “代码审查的颠覆者”？

达迪克曼将 GlassWorm 与 Koi Security 此前发现的另一款影响 NPM 包供应链的恶意软件 “沙伊・胡鲁德（Shai Hulud）” 进行对比，认为 GlassWorm 的危险性更高 —— 其 “隐形代码” 技术（也是 “玻璃蠕虫” 名称的由来）彻底打破了传统代码审查的逻辑。

“长期以来，安全研究人员构建的防护体系都基于‘人类可通过代码审查验证安全性与合法性’这一前提，但 GlassWorm 证明这个前提是错误的。” 达迪克曼在接受《Dark Reading》采访时直言，“这是我们迄今为止调查过的最复杂的攻击，堪称安全防护的范式转移。”

尤其值得警惕的是 GlassWorm 的最终攻击阶段 —— 名为 “ZOMBI” 的模块。该模块会将每一台被感染的开发者工作站转化为 “犯罪基础设施网络中的节点”，使攻击者能借助这些设备在整个软件供应链中大规模传播恶意软件，形成 “低成本、广覆盖” 的攻击网络。

04 如何防范与应对 “玻璃蠕虫” 攻击？

近年来，攻击者频繁通过 “污染代码仓库” 的方式，在软件工具和插件中植入恶意代码，进而通过供应链快速扩散。此前 NPM 仓库已是高发区，而 GlassWorm 的出现则表明，没有任何代码仓库或软件市场能完全避免风险，攻击者的技术隐蔽性和攻击手段正不断升级。

为帮助企业和开发者识别感染痕迹，Koi Security 已公布了 GlassWorm 的多种 “入侵指标（IoCs）”，包括涉恶意代码的插件名称、C2 服务器地址、有效载荷 URL 及恶意软件的持久化机制等。达迪克曼提醒，若在基础设施中检测到这些指标，需立即警惕以下风险：设备已被入侵、凭证信息可能泄露、加密货币钱包或已被盗、设备或已成为恶意代理工具。

针对已确认感染的设备，他建议采取两项关键措施：

1. 全面轮换凭证更换所有密钥信息，包括 NPM 令牌、GitHub 令牌、OpenVSX 与 VS Code 令牌，以及所有关联密码。
2. 彻底清除恶意软件对设备进行格式化处理，确保恶意代码被完全移除，避免残留的持久化模块再次激活。

05 延伸提醒

当前软件供应链攻击已成为网络安全的主要威胁之一，开发者和企业需加强防护意识：

• 优先从官方渠道下载插件，且定期检查已安装插件的更新记录，避免使用来源不明或长期未更新的插件；
• 开启开发工具的安全预警功能，对异常代码行为保持警惕；
• 定期备份重要数据与凭证，降低泄露后的损失；
• 关注安全厂商发布的 IoC 信息，及时排查设备风险。