Glassworm là một chiến dịch mã độc ransomware và đánh cắp thông tin đang lan rộng qua các công cụ mà lập trình viên tin dùng hằng ngày, biến quy trình phát triển phần mềm thành điểm xâm nhập cho rò rỉ dữ liệu, credential harvesting và duy trì truy cập trái phép.
Chuỗi tấn công qua hệ sinh thái phát triển
Chiến dịch này lợi dụng các nền tảng phổ biến như npm, PyPI, OpenVSX và GitHub để phân phối tải độc hại. Mục tiêu chính là chiếm quyền điều khiển máy trạm của nhà phát triển, sau đó mở rộng sang các kho mã nguồn và hệ thống liên quan.
Theo các phân tích an ninh mạng, Glassworm xuất hiện lần đầu vào tháng 10/2025, khi các tiện ích mở rộng Visual Studio Code và OpenVSX độc hại bắt đầu xuất hiện trên marketplace dành cho nhà phát triển. Trong đợt đầu, khoảng 35.800 lập trình viên được ghi nhận bị ảnh hưởng.
Có thể tham khảo thêm báo cáo kỹ thuật từ các nguồn giám sát mối đe dọa như CrowdStrike và thông tin về kho gói bị chiếm dụng từ Sonatype.
Hành vi của Glassworm trong chuỗi lây nhiễm
Glassworm hoạt động theo nhiều giai đoạn. Từ một loader, mã độc chuyển sang đánh cắp credential, rồi triển khai backdoor bền vững để duy trì quyền truy cập sau khi nhiễm ban đầu đã hoàn tất.
Điểm đáng chú ý của chiến dịch là đối tượng bị nhắm tới. Máy của lập trình viên thường lưu trữ cloud credentials, SSH keys, API tokens và cả ví tiền mã hóa. Chỉ một máy trạm bị xâm nhập cũng có thể tạo ra rủi ro an toàn thông tin lan rộng sang hạ tầng tổ chức và các kho mã liên kết.
Điểm xâm nhập ban đầu
Chuỗi tấn công bắt đầu khi nạn nhân cài một extension hoặc package trông có vẻ hợp lệ. Mã độc kích hoạt ở nền, thu thập bí mật và gửi thông tin đã đánh cắp về máy chủ do kẻ tấn công kiểm soát.
Trong một số trường hợp, các tài khoản publisher hợp pháp bị chiếm dụng để đẩy bản cập nhật độc hại, giúp chiến dịch tiếp cận số lượng lớn người dùng mà không gây chú ý ngay lập tức.
Thành phần bị lạm dụng trong môi trường phát triển
- VS Code extensions và Cursor extensions dùng làm điểm vào chính.
- npm packages trong hệ sinh thái React Native bị sửa đổi để chạy script cài đặt độc hại.
- PyPI repositories và kho mã trên GitHub được dùng để lan truyền tải độc hại.
Hai package npm trong hệ sinh thái React Native được ghi nhận có tổng cộng hơn 30.000 lượt tải mỗi tuần trước khi bị chiếm dụng và chỉnh sửa để triển khai malware nhiều giai đoạn.
Glassworm và cơ chế đánh cắp thông tin
Sau khi vào được máy nạn nhân, Glassworm tìm kiếm GitHub tokens từ nhiều nguồn như storage của VS Code, file thông tin xác thực Git và biến môi trường cục bộ. Token thu được được dùng để force-push mã độc vào mọi repository gắn với tài khoản nạn nhân.
Cơ chế chèn mã giữ nguyên commit author và commit date, khiến lịch sử dự án trông như không có thay đổi đáng ngờ. Đây là một đặc điểm làm tăng nguy cơ hệ thống bị tấn công mà không dễ phát hiện bằng kiểm tra thủ công thông thường.
Tham khảo IOC và dấu hiệu tấn công từ các nền tảng phân tích như StepSecurity để đối chiếu với môi trường giám sát nội bộ.
Kỹ thuật che giấu và né phát hiện
Glassworm dùng Unicode vô hình chèn vào mã nguồn để payload trông như khoảng trắng bình thường trong editor và giao diện review của GitHub. Cách này làm giảm hiệu quả của quá trình phát hiện tấn công bằng mắt thường.
Một cơ chế né phát hiện khác là kiểm tra locale tiếng Nga trước khi chạy cài đặt. Nếu hệ thống khớp với cấu hình này, script sẽ bỏ qua thực thi. Đây là kỹ thuật thường thấy trong các chiến dịch muốn tránh chú ý ở một số khu vực.
Command-and-control qua Solana blockchain
Điểm bất thường của Glassworm là sử dụng Solana blockchain làm kênh command-and-control. Thay vì phụ thuộc vào máy chủ có thể bị gỡ bỏ, mã độc đọc chỉ thị từ transaction memos gắn với một ví Solana cụ thể.
Khi cần thay đổi vị trí tải, kẻ tấn công chỉ việc đăng giao dịch mới. Một khi dữ liệu đã được ghi lên chuỗi, nội dung này không thể xóa hoặc kiểm duyệt theo cách thông thường. Đây là một dạng mối đe dọa mạng khó chặn bằng cơ chế C2 truyền thống.
Multi-stage payload và backdoor
Payload của Glassworm được mã hóa bằng AES. Khóa giải mã chỉ được gửi qua response headers từ máy chủ, khiến phân tích tĩnh gần như không đủ để phục dựng toàn bộ chuỗi thực thi.
Giai đoạn cuối triển khai một backdoor bền vững qua WebSockets. Đồng thời, một Chrome extension độc hại được cài thêm để thu thập dữ liệu phiên trình duyệt.
- Stage 1: Loader.
- Stage 2: Đánh cắp credential và dữ liệu ví tiền mã hóa.
- Stage 3: Backdoor bền vững qua WebSockets.
- Stage bổ sung: Chrome extension thu thập session data.
IOC và dấu hiệu cần theo dõi
Phần gốc không cung cấp danh sách IOC dạng IP, domain hay hash cụ thể. Vì vậy, các dấu hiệu dưới đây cần được xem như chỉ báo hành vi để phục vụ phát hiện xâm nhập và rà soát trong SIEM hoặc threat intelligence platform.
- Traffic outbound tới Solana RPC endpoints.
- Kết nối đến unknown IP addresses không khớp với pipeline phát triển bình thường.
- Xuất hiện extension VS Code/Cursor không xác định.
- Thay đổi bất thường trong GitHub tokens, SSH keys, hoặc environment variables.
- Commit giữ nguyên author/date nhưng có thay đổi nội dung không giải thích được.
Biện pháp rà soát và cập nhật bản vá
Các nhóm an ninh mạng cần kiểm tra toàn bộ VS Code extensions đã cài, gỡ bỏ mọi tiện ích không xác định và xoay vòng lại GitHub tokens cùng credential cloud trên mọi máy có khả năng đã bị lộ. Việc bật multi-factor authentication trên các nền tảng dành cho lập trình viên là cần thiết.
Trong môi trường giám sát, cần theo dõi lưu lượng đi ra ngoài tới các endpoint blockchain hoặc IP lạ. Loại lưu lượng này không phù hợp với một quy trình phát triển phần mềm bình thường và có thể là chỉ báo của lỗ hổng CVE chưa được vá hoặc chuỗi tấn công đang hoạt động trên máy trạm.
Giám sát bổ sung có thể thực hiện trên các artefact liên quan đến GitHub, kho package nội bộ, và lịch sử thay đổi của các repository để phát hiện bất thường do Glassworm tạo ra. Với các môi trường sử dụng extension và package từ nhiều nguồn, việc kiểm tra định kỳ và cập nhật bản vá cho toàn bộ công cụ phát triển là yêu cầu cơ bản của an toàn thông tin.
