Wellington Agápto

Nova campanha GlassWorm mira desenvolvedores e contamina extensões do VS Code

A campanha maliciosa conhecida como GlassWorm voltou a ganhar força, agora explorando extensões do Visual Studio Code (VS Code) e de registries alternativos como o OpenVSX. A nova onda preocupa especialistas em cibersegurança pela sofisticação da cadeia de ataque, pelo uso estratégico da engenharia social e pela capacidade de comprometer rapidamente ambientes de desenvolvimento. A ameaça demonstra, mais uma vez, que o ecossistema de extensões de IDEs se tornou um vetor crítico para ataques direcionados a desenvolvedores e organizações de software.

A evolução da campanha GlassWorm

Originalmente identificada em campanhas anteriores, o GlassWorm chamou a atenção por sua capacidade de se propagar de maneira automática através de extensões maliciosas. Na nova onda detectada, mais de vinte extensões fraudulentas foram distribuídas com nomes e descrições semelhantes a plugins legítimos, dificultando a identificação do risco por usuários comuns.

Essas extensões eram capazes de executar código malicioso assim que instaladas. Diferentemente de ataques tradicionais que dependem de interação, o GlassWorm se aproveita do modelo de permissão ampliada das IDEs modernas, o que permite acesso a tokens, variáveis de ambiente e diretórios sensíveis utilizados pelos desenvolvedores.

Entre os objetivos mais comuns identificados na campanha estão a extração de credenciais, a instalação de stealers como Lumma Stealer e a implantação de backdoors, incluindo tecnologias de acesso remoto como HVNC e proxies SOCKS. Esses mecanismos permitem que invasores assumam controle silencioso da máquina comprometida, transformando-a em ponto de apoio para novas intrusões ou em infraestrutura maliciosa.

Como as extensões maliciosas se infiltraram

A principal estratégia observada foi a publicação de extensões clonadas de projetos legítimos. Os atacantes replicaram funcionalidades, nomes e até ícones, mantendo a experiência do usuário quase idêntica, mas inserindo rotinas maliciosas no código-fonte.

Outra tática foi o uso de registries alternativos, como o OpenVSX, que embora úteis, não contam com o mesmo nível de verificação aplicado por marketplaces oficiais. Isso facilitou a distribuição silenciosa das extensões e ampliou o alcance do ataque para ambientes que não utilizam a loja oficial da Microsoft.

Além disso, desenvolvedores que utilizam IDEs baseadas em VS Code, como Cursor AI ou VSCodium, podem ter baixado extensões diretamente desses registries sem perceber que estavam obtendo versões adulteradas.

Impactos para equipes de desenvolvimento

A nova onda do GlassWorm reforça a tendência de ataques direcionados especificamente a desenvolvedores. Como esses profissionais lidam com tokens de API, chaves SSH, credenciais de cloud e pipelines de CI/CD, suas máquinas se tornam alvos de alto valor.

Uma vez comprometido, o ambiente pode permitir:

• Roubo de credenciais corporativas e pessoais.
• Comprometimento de repositórios Git.
• Inserção de código malicioso em supply chains.
• Acesso remoto persistente ao dispositivo e aos sistemas internos da empresa.

Ataques desse tipo possuem alto potencial para causar incidentes em larga escala, pois um único endpoint comprometido pode contaminar toda a cadeia de desenvolvimento.

Recomendações de mitigação

Organizações e desenvolvedores devem reforçar práticas de segurança relacionadas ao uso de extensões e ao monitoramento de ambientes de desenvolvimento.

As principais recomendações incluem:

• Verificar a procedência e a reputação de extensões antes da instalação.
• Evitar registries alternativos não oficiais, salvo quando totalmente auditados.
• Adotar políticas de hardening para ambientes de desenvolvimento.
• Utilizar ferramentas de segurança como Microsoft Defender for Endpoint para detectar comportamentos anômalos.
• Revogar e recriar tokens, chaves e credenciais caso uma extensão suspeita tenha sido instalada.
• Monitorar atividades de rede e processos que indiquem tunneling ou acesso remoto.

Além disso, equipes de segurança devem tratar a supply chain de software como um vetor crítico, mantendo visibilidade contínua sobre dependências, extensões e permissões utilizadas em todo o ciclo de desenvolvimento.

O retorno do GlassWorm demonstra que ataques a ambientes de desenvolvimento continuam evoluindo e exigem uma postura de segurança cada vez mais rigorosa. Extensões, que antes eram vistas apenas como facilitadoras de produtividade, tornaram-se um canal estratégico para invasores altamente capacitados. Reforçar verificações, restringir agentes externos e manter práticas de segurança atualizadas são medidas essenciais para mitigar riscos e evitar que extensões maliciosas comprometam a integridade de aplicações e infraestruturas corporativas.

E aí! Curtiu esse artigo? Então não esquece de comentar, deixar o seu like, e compartilhar em suas redes sociais.

Acesso Black!

Todos os meus Cursos em um único lugar.

Clique AQUI e se torne um aluno Black.

Cursos de Especialização

• Microsoft Exchange Online: do zero ao especialista
• Microsoft Intune do básico ao avançado
• Especialista em Microsoft Defender para Office 365
• DLP Para Administradores (Prevenção contra Perda de Dados no Microsoft Purview)
• Acesso Condicional do Microsoft Entra na Prática
• Comunicação e Oratória para o mundo corporativo
• ISO 27001 para Profissionais de TI e Segurança da Informação
• LGPD (Lei Geral de Proteção de Dados)

Cursos preparatórios para Certificações

Escolha umas das certificações a seguir e seja aprovado em até 4 semanas:

• ITIL 4 Foundation
• SC-200: analista de operações de segurança da Microsoft
• CompTia Security +
• AZ-305: Designing Microsoft Azure Infrastructure Solutions
• SC-100: Microsoft Cybersecurity Architect
• AWS Certified Cloud Practitioner
• AZ-900: Fundamentos do Microsoft Azure
• AZ-104: Administrador do Microsoft Azure
• AZ-500: Segurança no Azure
• MS-900: Fundamentos do Microsoft 365
• MS-102: Administrador do Microsoft 365
• MD-102: Microsoft 365 Endpoint Administrator
• MS-700: Administrador do Microsoft Teams
• SC-900: Segurança no Microsoft 365
• SC-300: Administrador de Acesso e Identidade da Microsoft

Clique AQUI e garanta a sua Vaga!