GlassWorm 利用基于区块链的 C2 和隐形 Unicode 窃取开发者机密

原创

ZM
ZM

暗镜

2026年6月23日 00:00
北京

在小说阅读器读本章

去阅读

JetBrains 伪造 AI 助手攻击、GlassWorm 自传播蠕虫病毒和被入侵的 Nx Console Visual Studio Code 扩展程序这三起协同攻击活动清楚地表明，IDE 插件生态系统现在已成为 AI 凭证窃取的主要攻击面。

攻击者已从机会主义网络钓鱼转向有针对性的供应链技术，利用 IDE 扩展程序所拥有的广泛权限和隐式信任，而 GlassWorm 是这一时期观察到的技术上最新颖的例子。

GlassWorm 于 2025 年 10 月首次出现，并通过VS Code Marketplace和 OpenVSX Registry 上的恶意扩展程序传播，随后又通过被污染的 npm 包、Python 代码库和受感染的 GitHub 推送进行扩散。大规模感染时，它导致数万个开发者安装受到影响。

它最引人注目的规避技术是使用不可见的 Unicode 字符变体选择器和私用区代码点，将恶意逻辑隐藏在看似无害的源文件中。

这些字符在典型的编辑器和差异视图中显示为空白，使得数据窃取程序能够通过依赖视觉检查的随意审查和自动审查。

同样值得注意的是 GlassWorm 具有弹性的、去中心化的指挥控制架构。

运营商通过多个公共和分布式通道对 C2 信息进行编码：Solana 交易备忘录字段在不可变账本中携带编码的 C2 地址，BitTorrent DHT 条目存储由硬编码公钥索引的配置块。

Google 日历事件标题充当 Base64 编码路径的死信箱，而传统的商业 VPS 主机则充当传统的备用服务器。

这种多渠道方法显著增加了打击的复杂性，并阻碍了仅关注阻止已知攻击者域的检测。

据 Cloud Security 报道，GlassWorm 窃取了广泛的凭证：GitHub 令牌、npm 和 OpenVSX 令牌、云凭证、密码管理器导出文件以及用于驱动编码助手的 AI API 密钥。

它利用窃取的 GitHub 凭据，强制将恶意提交推送到受害者控制的存储库中，从而创建了一个自动传播途径：任何克隆或拉取这些存储库的开发人员都有可能遭受二次感染。

后来的变种程序添加了 WebSocket RAT，可以捕获屏幕截图、击键、剪贴板内容，并安装浏览器扩展程序以持久收集凭据。

GlassWorm 与另外两个攻击活动并存，这两个活动凸显了集成开发环境 (IDE) 生态系统的结构性缺陷。JetBrains 伪造 AI 助手攻击活动从 2025 年 10 月起在 JetBrains 应用商店中至少投放了 15 个恶意插件；这些插件会请求 LLM 提供商（OpenAI、Anthropic、DeepSeek、SiliconFlow）的 API 密钥，并在提供看似正常功能的同时，将这些密钥以明文形式泄露到 C2 服务器端点。

Nx Console 漏洞表明，单个恶意版本发布可以迅速产生巨大影响：2026 年 5 月发布的恶意 nrwl.angular-console 版本执行了一个混淆的有效载荷，该有效载荷托管在受信任的 GitHub 存储库中，作为孤立提交，并导致数千个内部 GitHub 存储库的数据泄露。

这些事件利用了两个相互交织的因素：首先，现代 IDE 通常会存储高价值的秘密 AI API 密钥、云凭证、注册表令牌和 VCS 令牌，将敏感资产集中在一个可通过插件扩展的应用程序中。

其次，市场审查和供应链完整性控制（SBOM、SLSA 来源、依赖项锁定）尚未系统地扩展到 IDE 插件，从而造成了攻击者容易利用的治理漏洞。

AI API 密钥尤其有利可图，因为攻击者可以消耗受害者的大量推理资源，窃取查询内容，并转售有效的凭证。

立即采取缓解措施势在必行。各组织应清点并列入IDE插件白名单，轮换所有AI API密钥并将其存储在安全管理器之后，并对开发凭证应用最小权限范围和速率限制。