Ny skadlig programvara GlassWorm, BlackMamba och den nya vågen av cyberhot

Panorama över Ny skadlig kod som cirkulerar inom utvecklarnas och teknikföretagens ekosystem Det förändras i en brutal takt. Vi pratar inte bara om "klassiska" trojaner, utan även kampanjer som GlassWorm, koncepttestattacker som BlackMamba, och familjer av skadliga kod som förlitar sig på fillösa tekniker, avancerad kryptering, artificiell intelligens och ovanliga kommando- och kontrollkanaler som Solanas blockkedja eller applikationer för företagssamarbete.

I detta sammanhang Termer som GlassWorm, polymorf skadlig kod, AI-genererade keyloggers eller skadliga VS Code-tillägg Dessa hot har gått från att vara tekniska kuriositeter till ett mycket verkligt problem för utvecklare, organisationer och till och med myndigheter. Nedan går vi igenom i detalj vad som händer, hur dessa hot fungerar och varför de kräver en förändring i tankesättet kring hur man skyddar programvaruleveranskedjan.

Glasmask: den osynliga masken som smyger in i tillägg och arkiv

GlassWorm har etablerat sig som en av de första maskarna specifikt fokuserade på utvecklarnas ekosystemmed särskilt fokus på VS Code-tillägg, GitHub-repositorier och register som npm eller OpenVSX. Dess första utmärkande drag var användningen av osynliga Unicode-tecken för att dölja skadlig kod i JavaScript- och TypeScript-filer utan att något "konstigt" skulle synas vid första anblicken i redigeraren.

Tricket är att utnyttja Unicode Private Use Area (PUA)-tecken och variationsmodifierare som editorer representerar som blanksteg, men som faktiskt kodar byte. En liten avkodare itererar igenom innehållet i en till synes tom sträng, konverterar dessa kodpunkter till giltiga numeriska värden, lägger dem i en buffert och anropar slutligen eval() för att exekvera den redan avkodade nyttolasten.

Ur utvecklarens synvinkel är det misstänkta fragmentet vanligtvis kamouflerat bland Till synes oskyldiga ändringar: mindre omarbetningar, små dokumentationsjusteringar eller versionsförändringarCommiten "sjunger" inte något särskilt konstigt, och själva injektionen är vanligtvis kamouflerad i en verktygsfil eller en delad hjälpare, vilket gör det lätt att gå obemärkt förbi i manuella kodgranskningar.

De första vågorna av denna kampanj, spåras av olika säkerhetsföretag, de visade att Den osynliga Unicode-tekniken räckte för att kringgå recensioner, linders och många automatiserade verktyg.Resultatet: populära arkiv komprometterade, tillägg infekterade och en perfekt attackyta för att sprida skadlig kod till alla som installerade eller klonade dessa projekt.

Parallellt observerades hur hotbilden bakom GlassWorm rörde sig mellan ekosystem: Först OpenVSX och VS Code, sedan GitHub, sedan npm, och sedan tillbaka till marknadsplatser för tillägg., efter ett mycket tydligt mönster av attacker i vågor, där var och en är mer sofistikerad än den föregående.

Kedjiga kampanjer: från osynliga Unicode till Rust-binärfiler och krypterade nyttolaster

När analytiker publicerade tekniska rapporter som i detalj beskrev GlassWorms metoder, svarade angriparen modifiera TTP:erna (taktik, teknik och procedurer) på några veckorDenna utveckling har organiserats i flera "vågor", var och en med sina egna nyanser men med en tydligt gemensam infrastruktur och mål.

I de första vågorna var den absoluta huvudpersonen... nyttolaster dolda i osynliga Unicode-tecken integrerad i VS Code och OpenVSX-tillägg. När den skadliga koden avkodats laddade den ner ett andra skript med hjälp av Solana-blockkedjan som distributionskanal, vilket kunde stjäla inloggningsuppgifter, utvecklarhemligheter och kryptovalutaplånboksdata.

Därefter tog skådespelaren steget mot binärfiler kompilerade i RustOm man bortser från den mest uppenbara delen av Unicode-tricket, införlivade dessa binärfiler mer komplex logik, inklusive datastöldsfunktioner, skapande av SOCKS-proxyservrar och fjärråtkomstkanaler via VNC, allt startat från miljön hos utvecklaren som installerade ett till synes legitimt tillägg.

I en fjärde våg ändrades tillvägagångssättet igen: Nyttalasten började anlända som JavaScript-kod med innehåll krypterat med AES-256-CBCNyckeln och initialiseringsvektorn (IV) var inbäddade i kompilerade OpenVSX-tilläggsfiler. Nyckeln och IV var hårdkodade i själva koden och delades mellan flera tillägg, vilket tyder på att det låg en enda operator bakom kampanjen.

Som grädde på moset inkluderade angriparen en mycket specifik taktik för att undvika sandlådor: en fördröjning på cirka 900 000 millisekunder (cirka 15 minuter) innan någon skadlig åtgärd utförsMånga automatiserade analysmiljöer avbryter körningen efter några minuter, så tillägget verkade ofarligt under observationsperioden och passerade filtren utan att väcka misstanke.

Hoppa till macOS: GlassWorm går dit utvecklarna är

En av de mest oroande utvecklingarna inom GlassWorm har varit fokusskifte från Windows-system till ett praktiskt taget exklusivt fokus på macOSsärskilt i de senaste kampanjerna. Detta är helt logiskt: en stor andel utvecklare, särskilt inom kryptovaluta, web3 och startup-miljöer, använder Mac-datorer som sin primära arbetsstation.

Istället för PowerShell eller att mixtra med Windows-registret, de nya varianterna av GlassWorm De använder AppleScript för att utföra åtgärder i smyg. och använda LaunchAgents som en persistensmekanism, vilket säkerställer att den skadliga nyttolasten körs vid varje inloggning av den komprometterade användaren.

Skadlig programvara fokuserar på stjäl extremt känslig information från macOSnyckelringsdatabaser (login.keychain-db), lagrade lösenord, Apple Notes, Safari-cookies, data från Chromium- och Firefox-baserade webbläsare, filsystemdokument som verkar innehålla utvecklingshemligheter och mer.

Dessutom samlas nyttolasten utvecklaruppgifter och projektdata, inklusive GitHub-tokens, inloggningsuppgifter lagrade i git-cacher, npm-tokens från filen .npmrc, SSH-nycklar för katalogen ~/.ssh och VPN-konfigurationer. Allt detta paketeras i en tillfällig mapp, komprimeras och exfiltreras till servrar som kontrolleras av angriparen.

Infrastrukturen för ledning och kontroll (C2) upprätthåller ett konsekvent mönster: Använda Solana-blockkedjan för att publicera anteckningar eller PM med base64-kodade URL:er som pekar mot de aktuella servrarna. Slutpunkterna kan ändras så många gånger som angriparen vill; de behöver helt enkelt publicera ett nytt memo på blockkedjan. Eftersom registret i Solana är oföränderligt och decentraliserat är det praktiskt taget omöjligt att "ta ner det" på samma sätt som man skulle göra med en traditionell domän.

Trojanisering av hårdvaruplånböcker: nästa nivå

Ett av de viktigaste framstegen i de senaste vågorna av GlassWorm är möjlighet att ersätta hårdvaruplånboksapplikationer med trojaniserade versionerDen skadliga koden söker specifikt efter installationsprogram eller körbara filer för applikationer som Ledger Live och Trezor Suite på användarens system.

Om den hittar dem försöker skadlig programvara ladda ner en skadlig version av dessa applikationer från angriparens servrarDen tar bort den legitima applikationen och lämnar den manipulerade varianten installerad. För att förhindra att en ofullständig nedladdning avslöjar intrånget inkluderar koden kontroller av minimistorlek (till exempel installeras inte filer under en viss tröskel), vilket avslöjar en anmärkningsvärd grad av försiktighet från angriparens sida.

Denna metod öppnar dörren för mycket sofistikerade attacker mot kryptoekosystemet: en modifierad plånboksapplikation skulle kunna visa falska mottagaradresser, ändra transaktionsuppgifter innan användaren loggar in på den fysiska enheten, fånga upp startfraser under "återställningsprocesser" eller avlyssna kommunikationen mellan hårdvaruenheten och programvaran.

Vid tidpunkten för vissa analyser återvände C2-servrarna tomma filer för de förmodat trojanska programmenDetta tydde på att angriparen fortfarande förberedde nyttolasten eller migrerade infrastrukturen. Resten av funktionerna – stöld av autentiseringsuppgifter, datautvinning och persistens på macOS – var dock fullt fungerande.

Bortom hårdvaruplånböcker fortsätter skadlig kod att utöka sin räckvidd över Dussintals webbläsar- och skrivbordsplånböckerMetaMask, Phantom, Coinbase Wallet, Exodus, Keplr, Solflare, Trust Wallet, Rabby, Electrum, Coinomi, Atomic, Bitcoin Core-klienter, Monero och andra. Avsikten är tydlig: att kompromettera så många pengar som möjligt på varje infekterad maskin.

Massstöld av autentiseringsuppgifter och maskliknande spridning

GlassWorm stjäl inte bara inloggningsuppgifter; Den använder dem också aktivt för att fortsätta spridningenI dokumenterade incidenter utnyttjade operatörer legitima utvecklarkonton – till exempel på OpenVSX eller GitHub – för att ladda upp manipulerade versioner av tillägg eller för att skicka skadliga commits till projekt med öppen källkod.

I ett fall var ett utvecklarkonto med flera populära tillägg komprometterat och använt för att distribuera skadliga uppdateringar vilket inkluderade nyttolasten GlassWorm. Dessa tillägg hade varit helt ofarliga i åratal, vilket förstärkte användarnas förtroende för att uppdatera utan att tveka.

De commits som användes för att introducera den skadliga koden såg övertygande ut: Dessa inkluderade stiländringar, mindre korrigeringar och commit-meddelanden i överensstämmelse med projektets historik.Allt pekar på att angriparen använder AI-assisterade kodgenereringsverktyg, eller till och med automatiskt genererade commit-mallar, för att säkerställa att varje modifiering matchar stilen på det komprometterade arkivet.

Allt eftersom denna mask fortskrider har följande dokumenterats offer i flera regioner, inklusive högprofilerade organisationerBland de stalna uppgifterna från en av kommando- och kontrollservrarna fanns en ofullständig lista över offer från Amerika, Europa, Asien och till och med en statlig enhet i Mellanöstern. Vid sidan av denna information hittades även spår av operatören själv: keylogger-data, indikationer på ryska språket, användning av C2-ramverk som RedExt och konton på kryptovalutabörser och meddelandeplattformar.

Allt detta pekar mot en enda aktör Mycket professionell, med en tydlig ekonomisk motivation och en betydande kapacitet för teknisk iteration.Dessutom ger det en ledtråd till varför kampanjerna förblir aktiva även efter offentliga rapporter och åtgärder för att mildra konsekvenserna: så länge affärsmodellen är lönsam och infrastrukturen inte är helt nedmonterad kommer vågorna att fortsätta komma.

BlackMamba och hotet från AI-genererad skadlig kod

Vid sidan av GlassWorm-fallet har andra händelser ägt rum Bevis på koncept som utforskar hur språkmodeller och generativ AI kan forma en ny typ av skadlig kodEn av de mest kända är BlackMamba, utformad för att demonstrera potentialen hos stora språkmodeller när man skapar polymorfa keyloggers på begäran.

BlackMamba startar med en godartad körbar fil som vid körning, gör förfrågningar till ett välrenommerat API (som OpenAI) för att begära Python-kod som kan spela in tangenttryckningar. Denna kod genereras dynamiskt vid varje körning, så den är aldrig exakt densamma, och körs i minnet med hjälp av funktionen exec() från Python, utan att behöva skriva nyttolasten till disk.

Detta gör att den verkligt skadliga delen av programmet blir polymorf och fillöseftersom den bara finns i minnet och förändras kontinuerligt. I tester som utförts mot kommersiella EDR-lösningar upptäcktes denna metod helt och hållet inte, och genererade inga varningar eller detekteringar, trots att beteendet (keylogging och dataexfiltrering) var uppenbart skadligt.

För att extrahera data från den infekterade enheten använde PoC en kanal som många skulle anse vara oskyldig: Microsoft Teams, med hjälp av webhooks till en kanal som kontrolleras av angriparenPå så sätt kunde användarnamn, lösenord, kortnummer och all maskinskriven text skickas via en legitim företagskommunikationsplattform och smälta in med resten av trafiken.

Den slutliga paketeringen av skadlig programvara utfördes med hjälp av verktyg som auto-py-to-exe, vilket låter dig konvertera Python-skript till fristående körbara filer för Windows, macOS eller Linux. På så sätt får målanvändaren en fil som de kan köra utan att behöva ha Python installerat, vilket gör det enklare att distribuera med traditionella tekniker som nätfiskemejl, länkar i chattar eller klassisk social ingenjörskonst.

Hur långt sträcker sig risken för AI-genererad skadlig kod?

Förekomsten av Begreppsbevis som BlackMamba betyder inte att världen plötsligt är försvarslös, men det gör det tydligt att Angripare kan förlita sig på AI-modeller för att kombinera skadliga beteenden på ovanliga sätt., och utnyttjar luckor i detekteringssystem baserat på historiska mönster.

AI tillåter till exempel generera nästan oändliga variationer av samma nyttolastDetta inkluderar att justera kod för att kringgå specifika heuristik, eller till och med skapa commits med till synes rimliga meddelanden och ändringar för att maskera intrångsaktiviteter i koddatabaser. I kombination med "pålitliga" exfiltreringskanaler – som Teams, publika molntjänster eller API:er från betrodda leverantörer – blir gränsen mellan legitim och skadlig trafik ännu mer suddig.

Nu är det också sant att Användningen av minne som enda hemvist för skadlig programvara, polymorfism och missbruk av legitima kanaler Det här är utmaningar som cybersäkerhetsbranschen har ställts inför ett tag. Det kvalitativa språnget inom AI är inte så mycket framväxten av helt nya tekniker, utan snarare den lätthet med vilken vilken angripare som helst kan automatisera och orkestrera dessa tekniker i stor skala.

Moderna säkerhetslösningar, särskilt de som kombinerar EDR/XDR med egenutvecklade AI-modeller och beteendeanalysDe arbetar redan genom att övervaka exekveringsmönster, åtkomst till känsliga API:er, nätverksanomalier och tidsmässiga korrelationer mellan händelser, istället för att enbart förlita sig på statiska signaturer. Trots detta ökar trycket på defensiva system, och organisationer som inte har tagit steget till den här typen av tillvägagångssätt löper större risk för hot som de som avslöjats av BlackMamba.

I detta scenario blir det tydligt att Mänsklig intelligens är fortfarande avgörandeAnalytiker som kan tolka subtila signaler, förstå sammanhanget för en incident och kreativt justera försvar är avgörande. Samarbete mellan säkerhetsleverantörer, forskare, kunder och brottsbekämpande myndigheter är oumbärligt för att dela indikatorer på kompromisser (IOC), attackmönster och bästa praxis för respons.

Försvar för leveranskedjan: bortom traditionellt antivirusprogram

Allt ovanstående pekar mot en tydlig slutsats: Organisationer kan inte längre enbart förlita sig på visuella kodgranskningar, traditionell antivirusprogramvara eller statiska paketskanningar. för att skydda din programvaruleveranskedja. När skadlig kod kan vara bokstavligen osynlig hos utgivaren, bara köras i minnet eller anlända krypterad och fördröjd, behövs en heltäckande strategi.

Flera specialiserade plattformar har börjat Inkludera specifika detekteringsmotorer för mönster som användningen av osynliga Unicode-tecken, krypterade nyttolaster och avvikande beteende i tillägg och paketDessa motorer analyserar både repositorierna och de artefakter som team installerar (tillägg, beroenden, containeravbildningar etc.) och letar efter misstänkta instruktionssekvenser, ovanliga API-anrop och obfuskeringsmönster.

En annan försvarslinje är att använda verktyg som pakethanterare (npm, npx, yarn, pnpm och liknande) wrap med ytterligare säkerhetslager, som avlyssnar potentiellt farliga installationer och jämför dem mot skadlig koddatabaser och riskmodeller. Vissa lösningar kombinerar till och med AI med mänskliga analytiker för att snabbt validera misstänkta paket, vilket blockerar deras inträde i utvecklingsmiljöer.

För utvecklingsteam är det också avgörande Upprätthåll god autentiseringshygien: rotera tokens, använd flerfaktorsautentisering, begränsa åtkomstområdet och övervaka ovanliga förändringar i arkiv och tillägg som är kopplade till deras konton. Om en angripare lyckas utge sig för att vara en betrodd ansvarig kan effekten på hela användargemenskapen för det paketet eller tillägget vara enorm.

I slutändan kräver skydd mot kampanjer som GlassWorm eller AI-genererad polymorf skadlig kod kombinera avancerade tekniska kontroller, mogna processer för beroendehantering och en kultur av sund misstro mot alla komponenter som inte har verifierats noggrant. Det handlar inte om att överge programvara från tredje part, utan om att anta att vilken länk som helst i kedjan kan vara en attackvektor och agera därefter.

Den nya skadliga programvaran som framträder – från osynliga maskar i VS Code-tillägg till polymorfa keyloggers som hanteras av språkmodeller – visar att Angripare blir lika sofistikerade som den teknik vi använder för att försvara oss.Den som vill hänga med måste anamma beteendebaserade lösningar, stärka säkerheten i leveranskedjan och framför allt sluta anta att det som inte syns i redigeraren eller på skrivbordet inte existerar.

Relaterad artikel:

Användning av AI inom cyberbrottslighet och hur man skyddar sig mot det

Isaac

Passionerad författare om bytesvärlden och tekniken i allmänhet. Jag älskar att dela med mig av min kunskap genom att skriva, och det är vad jag kommer att göra i den här bloggen, visa dig alla de mest intressanta sakerna om prylar, mjukvara, hårdvara, tekniska trender och mer. Mitt mål är att hjälpa dig att navigera i den digitala världen på ett enkelt och underhållande sätt.