開発者を狙うマルウェアキャンペーン「GlassWorm」に関連するVS Codeのテーマ拡張機能群が見つかりました。調査では、Visual Studio MarketplaceとOpen VSXレジストリにまたがり、悪意があると確認された拡張機能2件と、関連するテーマ複数が特定されました。
不審なテーマのうち「Coca-Cola Christmas」と「Aurora Borealis Studio Theme」の2件は、Marketplaceで8,000回を超えるインストールを集めていました。
分析したバージョンには、実際に動作する悪意あるペイロードは含まれていませんでした。ただし、どちらも実行可能なJavaScriptを含んでおり、マルウェアと確認されたものと開発上のつながりがありました。
Socketはこれらを高リスクに分類しており、Microsoftは報告を受けて、該当する拡張機能を削除しました。
この区別は重要です。グループ内のすべての拡張機能が実際に悪意ある動作をしていたわけではありません。しかし、不要な実行可能コードがあれば、後から悪用される余地が生まれます。
VS Codeのテーマはコードを実行でき、エディタにはその機能を制限するきめ細かな権限制御がありません。
すでに削除されている拡張機能「Aurora Nocturne Night Theme」は、配布パッケージの中にWindows向けダウンローダーを隠していました。
公開リポジトリには通常のテーマ機能しか見当たりませんでしたが、実際にインストールされた拡張機能は、それとは別の、高度に難読化されたJavaScriptファイルを実行していました。
約59KBのこのファイルは、ランダム化された名前、16進エスケープ、不可視のUnicode文字を使ってペイロードを隠していました。
デコードすると、fingercakes4sale[.]storeに接続し、攻撃者が管理するコンテンツをダウンロードして%TEMP%\temp_batch.cmdとして保存します。その後、コマンドウィンドウを隠したままcmd.exe経由でスクリプトを起動します。
「Cosmic Nebula Themes」は、GlassWormとの技術的なつながりが最も強い拡張機能です。Marketplace版のビルドは、埋め込まれたJavaScriptをAES-256-CBCで復号し、復元したコードをeval()ですぐに実行していました。
次の段階では言語とタイムゾーンの設定を確認し、ロシア語環境の条件に合致するシステムを避けていました。続いてローダーがSolanaのトランザクションメモを照会し、次のペイロードのアドレスを割り出します。
このブロックチェーンを使った照会により、攻撃者は新しい拡張機能のバージョンを公開しなくても、配信インフラを変更できました。ダウンロードされたJavaScriptは、Node.jsの機能にアクセスできる状態でメモリ内で実行されます。
Socketは、GlassWormの活動として過去に記録されたものと同じSolanaアドレス、暗号鍵、実行パターンを確認しました。
研究者は、分析したCosmic Nebulaのビルドを高い確度でGlassWormによるものと結論づけました。一方で、より広いテーマ群については「GlassWormに関連するもの」と位置づけています。
各プロジェクトは、Gitのコミット者情報、ほぼ同一のテーマ定義、共通のウェルカムページのコード、繰り返し現れるロシア語のコメントによって結びついていました。これらは開発上のつながりを裏付けますが、すべての公開アカウントが同一人物のものだと証明するわけではありません。
調査ではさらに、Open VSXで6件の関連する拡張機能のIDが見つかりました。Coca-Cola Christmasは約39,000回、Charcoal Mintは約10,000回ダウンロードされています。
分析したバージョンの多くには有効なペイロードがなかったため、ダウンロード数は感染の確認ではなく、潜在的な露出の規模を示すものです。セキュリティチームは、両レジストリでインストール済みのテーマを洗い出し、拡張機能パッケージの実体を調べる必要があります。
レビューでは、package.json、アクティベーションイベント、JavaScriptのエントリポイント、実行時の復号、ネットワークリクエスト、プロセス実行を確認すべきです。Socketによると、公開リポジトリの内容は、配布されているビルドと一致しない場合があります。
Aurora Nocturneをインストールした組織は、悪意あるドメイン、ドロップされたバッチファイル、VS Codeから起動されたコマンドシェルを調査してください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/vscode-themes-conceal-glassworm/
