GlassWorm upgrade supply chain attack! Disguised plugin steals crypto assets, Solana becomes C2 channel.

Gate News informa que la agencia de seguridad GoPlus ha emitido una alerta indicando que GlassWorm ha evolucionado desde un gusano en VS Code en sus primeras etapas hasta convertirse en un marco de ataque de cadena de suministro altamente complejo, que roba datos sensibles y activos criptográficos de los usuarios mediante la suplantación de extensiones de Chrome, ampliando continuamente su alcance.

El núcleo de este ataque radica en la dependencia de la inyección de código oculta y la contaminación mediante envenenamiento. Los atacantes utilizan caracteres Unicode especiales y PUA para manipular paquetes de npm y PyPI, e insertan cargadores maliciosos. Estos caracteres son difíciles de detectar en las herramientas de revisión de código, lo que permite que el código malicioso eluda las detecciones tradicionales de análisis estático y contamine el entorno de desarrollo desde su origen.

En la capa de comunicación, GlassWorm emplea métodos de control más discretos. Renuncia a los servidores DNS tradicionales y en su lugar utiliza la cadena de bloques de Solana como canal de comando y control, ocultando las instrucciones en notas de transacción en la cadena. Este diseño dota a la infraestructura de ataque de una mayor resistencia a bloqueos, dificultando su rastreo o desconexión mediante métodos convencionales.

En el extremo final, el ataque se implementa disfrazándose como una extensión llamada “Google Docs Offline”. Este plugin malicioso puede robar cookies del navegador, contenido del portapapeles y registros de navegación, además de tener capacidades de registro de teclado y captura de pantalla, y puede monitorear actividades en billeteras hardware como Ledger y Trezor. Además, los atacantes muestran interfaces de phishing para inducir a los usuarios a ingresar frases de recuperación, permitiendo así el control directo de sus activos digitales.

GoPlus advierte a los usuarios que deben desplegar herramientas de detección que puedan identificar caracteres ocultos y evitar instalar software o plugins de fuentes desconocidas. También deben estar atentos a firmas de transacciones anómalas y solicitudes de transferencia. En caso de sospechar que su dispositivo ha sido comprometido, deben desconectar inmediatamente la red y cambiar todas las credenciales de sus cuentas relacionadas para reducir posibles pérdidas.