GlassWorm供应链蠕虫利用隐形Unicode与Solana区块链实现隐蔽C2通信
内容提要
网络安全公司Koi Security发现了首个针对OpenVSX市场的自传播恶意软件GlassWorm，该恶意软件利用隐形Unicode注入和区块链C2基础设施，已导致至少35,800次感染。它能够窃取凭证、清空加密钱包，并通过Google日历作为备份命令服务器增强隐蔽性和抗审查能力。
关键要点
-
Koi Security发现了首个针对OpenVSX市场的自传播恶意软件GlassWorm。
-
GlassWorm结合了隐形Unicode注入、区块链C2基础设施和Google日历备份服务器。
-
截至2025年10月19日，已确认至少35,800次感染，多个受感染扩展仍在活跃。
-
GlassWorm能自动在开发者生态系统中传播，窃取凭证和清空加密钱包。
-
恶意代码通过Unicode变体选择器嵌入，肉眼和大多数扫描器无法检测。
-
恶意软件使用Solana区块链作为命令与控制基础设施，难以被清除。
-
Google日历事件被用作备份命令服务器，提供冗余的C2机制。
-
GlassWorm主动窃取多种平台的凭证，并具备多功能远程访问木马（RAT）功能。
-
恶意软件具有自我复制能力，能自动入侵更多软件包和扩展。
-
用户在无感知情况下接收恶意版本，攻击仍在活跃进行。
延伸解读
隐形恶意代码的威胁
GlassWorm利用隐形Unicode注入技术，使恶意代码在代码编辑器中不可见。这种隐蔽性使得传统的安全扫描工具难以检测，用户在不知情的情况下可能会下载并安装受感染的扩展，增加了网络安全风险。开发者和用户需提高警惕，定期检查所用扩展的安全性。
区块链C2基础设施的挑战
GlassWorm使用Solana区块链作为其命令与控制基础设施，这种设计使得恶意软件难以被清除。即使防御者封锁了某些IP，攻击者仍可通过发布新的交易来更新恶意代码。这一特性提醒网络安全专家，传统的防御措施可能不足以应对新型的区块链驱动攻击。
自我复制传播的风险
GlassWorm具备自我复制能力，能够利用窃取的凭证自动入侵更多软件包和扩展。这种指数级传播模式使得一旦感染，恶意软件可能迅速扩散，造成更大范围的损害。用户和开发者应关注软件更新来源，避免无意中成为传播链的一部分。
延伸问答
GlassWorm恶意软件是如何传播的？
GlassWorm恶意软件能够自动在开发者生态系统中传播，利用窃取的凭证入侵更多软件包和扩展。
GlassWorm使用了哪些技术来隐藏其恶意代码？
GlassWorm通过隐形Unicode注入技术嵌入恶意代码，使其对人眼和大多数扫描器不可见。
GlassWorm如何利用区块链进行命令与控制？
GlassWorm使用Solana区块链作为命令与控制基础设施，受感染系统通过查询区块链获取指向有效载荷的链接。
Google日历在GlassWorm中扮演什么角色？
Google日历被用作备份命令服务器，提供冗余的C2机制，恶意软件通过它连接以获取新的有效载荷。
GlassWorm恶意软件的主要目标是什么？
GlassWorm主要目标是窃取用户凭证和清空加密钱包，影响多个平台的用户。
用户如何在不知情的情况下感染GlassWorm？
用户在无感知情况下接收恶意版本，因为VS Code扩展会自动更新到受感染的版本，无需用户交互。
