A campanha Glassworm retornou em uma terceira onda, com dezenas de novos pacotes maliciosos publicados nas plataformas OpenVSX e Microsoft Visual Studio Marketplace, ampliando a superfície de risco para desenvolvedores que instalam extensões não verificadas.
O que foi observado
Pesquisadores relataram que a campanha, iniciada em outubro, adicionou mais 24 novos pacotes nesta terceira onda nas duas plataformas analisadas. A campanha utiliza o modelo de publicação de pacotes para distribuir código malicioso através de extensões e bibliotecas voltadas a ambientes de desenvolvimento.
Vetor e comportamento
As fontes descrevem que as cargas maliciosas aparecem sob a forma de pacotes de extensão válidos para VS Code/OpenVSX, aproveitando a confiança que desenvolvedores depositam em pacotes de terceiros. A persistência da campanha em múltiplas ondas indica que autores conseguem contornar controles de publicação ou publicar sob identidades diferentes.
Implicações para times de segurança
Para equipes que gerenciam ambientes de desenvolvimento, a atividade Glassworm reforça a necessidade de políticas de whitelisting de extensões, revisão das permissões solicitadas por add-ons e processos de verificação antes da instalação em estações críticas.
Também é recomendável o monitoramento de comportamento anômalo em estações de desenvolvimento, como a carga de binários nativos ou conexões de rede atípicas originadas por processos do editor de código.
Limitações das informações
A matéria informa o número de pacotes observados na nova onda (24) e o histórico da campanha, mas não traz, nesta cobertura, indicadores de comprometimento detalhados, hashes ou domínios de C2 replicáveis para bloqueio direto. As fontes indicam tendência de persistência e adaptação dos operadores da campanha.