O Malware GlassWorm Faz 73 Extensões “Dormant” no OpenVSX para Roubar Carteiras Cripto

Mensagem do Gate News, 28 de Abril — Investigadores de segurança identificaram 73 extensões maliciosas plantadas pelo malware GlassWorm no registo do OpenVSX, com seis já activadas para roubar as carteiras de criptomoeda e as credenciais dos programadores. As extensões foram carregadas como cópias falsas de listagens legítimas, com código malicioso injectado através de actualizações posteriores.

O GlassWorm surgiu pela primeira vez em Outubro de 2025, usando caracteres Unicode invisíveis para ocultar código que visa dados de carteiras cripto e credenciais de programadores. A campanha espalhou-se desde então por pacotes npm, repositórios GitHub, o Visual Studio Code Marketplace e o OpenVSX. Em meados de Março de 2026, uma vaga importante afectou centenas de repositórios e dezenas de extensões, levando à intervenção de vários grupos de investigação em segurança. Os atacantes empregam uma estratégia de activação diferida: distribuem primeiro extensões limpas para criar uma base de instalação, antes de disponibilizarem malware através de actualizações. Investigadores de Socket identificaram três métodos de entrega: carregar um segundo pacote VSIX a partir do GitHub via comandos de CLI, implementar módulos compilados específicos da plataforma como ficheiros .node que contêm a lógica maliciosa central, e usar JavaScript fortemente ofuscado que descodifica em tempo de execução para descarregar e instalar cargas maliciosas.

A ameaça estende-se para além do OpenVSX. A 22 de Abril, o registo npm hospedou temporariamente uma versão maliciosa da CLI do Bitwarden sob o nome de pacote oficial durante 93 minutos. O pacote comprometido roubou tokens do GitHub, tokens npm, chaves SSH, credenciais da AWS e da Azure, e segredos do GitHub Actions. A Bitwarden, que serve mais de 10 milhões de utilizadores em mais de 50.000 empresas, confirmou a ligação a uma campanha mais ampla acompanhada por investigadores da Checkmarx. Os ataques à cadeia de abastecimento exploram o atraso entre a publicação do pacote e a verificação do conteúdo; a Sonatype reportou aproximadamente 454.600 pacotes maliciosos a infestar os repositórios em 2025.

A Socket recomenda que os programadores que tenham instalado qualquer uma das 73 extensões assinaladas no OpenVSX rodem todas as credenciais (secrets) e limpem os seus ambientes de desenvolvimento. Observadores de segurança estão a monitorizar se as restantes 67 extensões dormentes serão activadas nos próximos dias e se o OpenVSX implementa controlos de revisão mais rigorosos para actualizações de extensões.