Extensões falsas do VS Code espalham malware GlassWorm v2 contra desenvolvedores

Pesquisadores identificaram uma nova onda da campanha GlassWorm, agora chamada de GlassWorm v2, envolvendo 73 extensões falsas publicadas no repositório Open VSX, usado por desenvolvedores que trabalham com ambientes como VS Code, Cursor, Windsurf e VSCodium.

As extensões foram criadas como cópias de pacotes legítimos, usando nomes parecidos, ícones e descrições quase idênticas. Essa técnica, conhecida como typosquatting, tenta enganar usuários que procuram extensões populares. Embora apenas seis pacotes tenham sido confirmados como maliciosos, os demais funcionavam como “sleepers”: extensões aparentemente inofensivas usadas para ganhar confiança, aumentar instalações e, futuramente, receber atualizações maliciosas.

Entre as extensões maliciosas identificadas estão:

• outsidestormcommand.monochromator-theme

• keyacrosslaud.auto-loop-for-antigravity

• krundoven.ironplc-fast-hub

• boulderzitunnel.vscode-buddies

• cubedivervolt.html-code-validate

• winnerdomain17.version-lens-tool

Segundo a Socket, mais de 320 artefatos relacionados à campanha foram encontrados desde 21 de dezembro de 2025. A estratégia mostra uma evolução importante dos hackers, que passaram a abusar de pacotes dormentes, dependências transitivas e carregadores escritos em Zig para dificultar a detecção.

A cadeia de ataque começa quando o desenvolvedor instala uma extensão aparentemente legítima. Após a ativação, ela funciona como um loader e busca no GitHub uma segunda extensão VSIX maliciosa. Em seguida, o malware tenta instalar esse payload em todos os IDEs encontrados na máquina, usando o comando --install-extension.

O objetivo final é comprometer o ambiente de desenvolvimento, roubar dados sensíveis, instalar um trojan de acesso remoto e implantar uma extensão Chromium falsa para capturar credenciais, favoritos e outras informações do navegador. O malware também evita execução em sistemas russos, um comportamento comum em campanhas associadas ao ecossistema cibercriminoso do Leste Europeu.

O caso reforça um risco crescente na cadeia de suprimentos de software: extensões e pacotes usados por desenvolvedores se tornaram alvos estratégicos. Ao comprometer ferramentas de desenvolvimento, hackers podem alcançar credenciais corporativas, tokens de acesso, repositórios privados e ambientes cloud, ampliando o impacto operacional e financeiro para empresas.