Les acteurs malveillants publient des extensions propres qui sont ensuite mises à jour pour dépendre de packages de charges utiles cachés, contournant les contrôles du marché et installant silencieusement des logiciels malveillants sur les systèmes des développeurs.
Les acteurs malveillants abusent des relations de dépendance des extensions dans le registre Open VSX pour diffuser indirectement des logiciels malveillants dans une nouvelle phase de la campagne de chaîne d’approvisionnement GlassWorm.
Les chercheurs de Socket ont déclaré avoir identifié au moins 72 extensions Open VSX malveillantes supplémentaires liées à la campagne depuis le 31 janvier 2026. Les extensions semblent cibler les développeurs en se faisant passer pour des outils utiles, tels que des linters, des formateurs, des utilitaires de base de données ou des intégrations pour les assistants de codage de l’IA, tout en servant de véhicules de livraison pour un chargeur de malware lié à l’opération GlassWorm.
« Au lieu d’exiger que chaque liste malveillante intègre directement le chargeur, l’acteur malveillant abuse désormais de ‘extensionPack’ et ‘extensionDependencies’ pour transformer des extensions initialement autonomes en véhicules de livraison transitifs dans les mises à jour ultérieures, permettant à un package d’apparence inoffensive de commencer à extraire une extension distincte liée à GlassWorm seulement après que la confiance ait déjà été établie », ont déclaré les chercheurs de Socket dans un article de blog.
La nouvelle campagne conserve techniquement le même cœur de métier GlassWorm tout en améliorant la capacité de survie et l’évasion, ont ajouté les chercheurs.
Attaque de la chaîne d’approvisionnement cachée dans les relations d’extension
extensionPack et extensionDependencies sont deux fonctionnalités couramment utilisées par les extensions Visual Studio Code pour regrouper ou exiger d’autres extensions.
Selon Socket, les acteurs malveillants publient des extensions épurées qui, après avoir gagné la confiance des utilisateurs et passé les contrôles du marché, sont ensuite mises à jour pour inclure des dépendances sur des extensions distinctes contenant le chargeur GlassWorm. Une fois installé ou mis à jour, l’éditeur installe automatiquement toutes les extensions référencées, y compris la charge utile malveillante.
Ce modèle de livraison transitif crée un chemin de chaîne d’approvisionnement similaire à l’abus de dépendance dans les écosystèmes de packages comme npm. Un abus récent comprenait une compromission d’un responsable, conduisant à des mises à jour malveillantes propageant un malware de porte dérobée. La tristement célèbre campagne Shai-Hulud qui a compromis plus de 800 colis en novembre 2025 est un autre exemple d’abus de dépendance auto-propagé.
La nouvelle approche réduit probablement les frais opérationnels des attaquants. Au lieu d’intégrer le chargeur dans chaque extension malveillante, ils peuvent conserver un plus petit nombre d’extensions de charge utile tout en les distribuant via un réseau plus large de relations de dépendance.
Le ver de verre en évolution
Des recherches antérieures sur l’opération GlassWorm ont révélé des techniques telles qu’une obfuscation lourde de code, l’utilisation de caractères Unicode pour masquer une logique malveillante et une infrastructure qui récupère les serveurs de commande et de contrôle via des transactions blockchain, rendant la campagne plus résiliente aux retraits.
La dernière vague imite également les outils de développement largement utilisés pour maximiser les chances d’installation. « Les extensions imitent en grande partie des utilitaires de développement largement installés : des linters et des formateurs comme ESLint et Prettier, des exécuteurs de code, des outils de langage populaires pour Angular, Flutter, Python et Vue, et des extensions de qualité de vie courantes comme vscode-icons, WakaTime et Better Comments », ont déclaré les chercheurs. « La campagne cible également les outils de développement d’IA, avec des extensions ciblant Claude Code, Codex et Antigravity. »
Les chercheurs ont ajouté qu’au 13 mars, Open VSX avait supprimé la majorité des extensions transitivement malveillantes, mais que quelques-unes restaient actives, ce qui indique des retraits en cours.
Socket a publié des indicateurs de compromission (IOC) liés à la campagne, y compris les noms de dizaines d’extensions Open VSX malveillantes et de comptes d’éditeurs associés soupçonnés d’être liés à l’opération. De plus, les chercheurs recommandent de traiter les dépendances d’extensions avec le même examen minutieux généralement appliqué aux progiciels. Les organisations doivent surveiller les mises à jour des extensions, auditer les relations de dépendance et limiter l’installation aux éditeurs de confiance lorsque cela est possible, car les attaquants exploitent de plus en plus l’écosystème des outils de développement comme point d’entrée de la chaîne d’approvisionnement.
