GlassWorm plasserer sovende utvidelser i Open VSX-markedsplassen

Socket har dokumentert en ny bølge av GlassWorm-kampanjen, denne gangen rettet mot utviklermiljøer gjennom 73 såkalte sovende utvidelser i markedsplassen Open VSX. Utvidelsene er ufarlige når de installeres, og bygger tillit før de gjøres skadelige gjennom en senere oppdatering. Flere er allerede aktivert og leverer skadelig innhold, mens resten ligger stille i utviklernes miljøer.

Hva det betyr for virksomheten

Kampanjen utnytter at godkjenning av programvare vanligvis skjer én gang, ved installasjon. En utvidelse som var ren da den ble vurdert, kan endre oppførsel uker eller måneder senere uten at noe synlig varsel går ut. Utviklerens maskin har som regel tilgang til kildekode, produksjonsnøkler og interne miljøer, og er derfor et effektivt utgangspunkt for videre angrep. For virksomheten er dette et spørsmål om hvordan verktøykjeden i utviklingsavdelingen styres, ikke bare hva som ble installert.

Berigo anbefaler

• Skaff oversikt over hvilke utvidelser som faktisk er installert i utviklernes miljøer, og hold listen oppdatert.
• Slå av automatisk oppdatering av utvidelser, og lås til bestemte versjoner der det er mulig.
• Vurder å styre installasjon av utvidelser gjennom en godkjent intern liste framfor fri tilgang til markedsplassen.
• Sørg for at utviklermaskiner logger utgående nettverkstrafikk, slik at aktivering av en sovende utvidelse kan oppdages.

Kilde

• socket.dev