ztevenreal
- La campaña de malware GlassWorm se expandió de VS Code Marketplace a Open VSX
- Cuatro extensiones comprometidas entregaron un estafador de información de macOS que robaba datos del navegador, billeteras e información de llaveros
- Extensiones descargadas 22.000 veces; Los atacantes excluyeron los sistemas rusos, insinuando su origen ruso.
GlassWorm, la campaña de malware dirigida a los desarrolladores de VS Code en el mercado oficial de Visual Studio Code de Microsoft, ahora se ha expandido a alternativas de código despejado, afirmaron los expertos.
Recientemente, los investigadores de seguridad Socket dijeron que descubrieron cuatro extensiones en Open VSX, un mercado despejado y ecuánime para extensiones de editor (utilizado principalmente por desarrolladores que trabajan con editores compatibles con VS Code).
Estas extensiones comenzaron como benignas, pero en un momento se vieron comprometidas y se utilizaron para entregar un estafador de información a los usuarios de MacOS en el estilo peculiar de ataque a la cautiverio de suministro. Aquí está la registro de las extensiones comprometidas:
oorzc.ssh-herramientas v0.5.1
oorzc.i18n-tools-plus v1.6.8
oorzc.atlas mental v1.0.61
oorzc.scss-a-css-compilar v1.3.4
Fregado tras el ataque
Se actualizaron para incluir malware el 30 de enero, luego de permanecer legítimos durante aproximadamente dos abriles.
El malware carga un estafador de información de macOS que recopila datos confidenciales de navegadores (Firefox y Chromium), extensiones y aplicaciones de billeteras de criptomonedas, datos de cadena de macOS, bases de datos de Apple Notes, cookies de Safari, secretos de desarrolladores y documentos del sistema de archivos tópico.
Luego, todo se filtra a un servidor propiedad del atacante.
En total, las extensiones se descargaron 22.000 veces, dijeron los investigadores, lo que sugiere una campaña relativamente exitosa. Es más, la campaña se dirige exclusivamente a dispositivos macOS, excluyendo los sistemas locales rusos, lo que podría significar que los atacantes son de origen ruso.
Socket notificó a los operadores de Open VSX, Desvanecimiento Foundation, sus hallazgos, y la plataforma revocó los tokens y eliminó las versiones maliciosas. Sin incautación, esto no significa que todos estén a aparte. Los usuarios que descargaron las extensiones aún deben eliminarlas, escanear sus sistemas en pesquisa de restos de malware y rotar sus credenciales para mitigar completamente los riesgos.
Se dijo que una de las extensiones, oorzc.ssh-tools, fue eliminada por completo de Open VSX ya que contenía múltiples versiones maliciosas. Otras extensiones simplemente se limpiaron y se devolvieron a la plataforma.
A través de pitidocomputadora
El mejor antivirus para todos los bolsillos
Siga TechRadar en Google News y agréganos como fuente preferida para admitir telediario, reseñas y opiniones de nuestros expertos en sus feeds. ¡Asegúrate de hacer clic en el brote Seguir!
Y por supuesto todavía puedes Siga TechRadar en TikTok para telediario, reseñas, unboxings en forma de video y reciba actualizaciones periódicas de nuestra parte en WhatsApp todavía.
