La campaña de supply chain ataca el marketplace con extensiones que parecen legítimas al publicarse pero se actualizan después para entregar payloads. Al menos seis ya han sido activadas.
El equipo de investigación de Socket ha identificado un nuevo clúster de 73 extensiones de imitación en el marketplace Open VSX vinculadas a la campaña GlassWorm, una operación de ataque a la cadena de suministro que continúa escalando desde marzo de 2026. Al menos seis de estas extensiones ya han sido activadas para entregar malware, mientras que el resto permanecen como "sleepers", extensiones inactivas que podrían weaponizarse en cualquier momento a través del mecanismo normal de actualizaciones.
La técnica de las sleeper extensions representa un cambio de paradigma en los ataques a ecosistemas de desarrollo. Los actores de amenazas publican inicialmente extensiones que parecen completamente benignas, sin código malicioso observable, para generar confianza y acumular descargas. Solo después, mediante actualizaciones posteriores, introducen el payload malicioso.
Esta estrategia evade los escaneos automatizados que solo analizan el estado inicial del paquete, según detalla el reporte de Socket sobre la campaña GlassWorm.
El patrón de suplantación es sofisticado. Una de las extensiones identificadas, Emotionkyoseparate.turkish-language-pack, replica casi perfectamente la extensión legítima MS-CEINTL.vscode-language-pack-tr, el paquete de idioma turco oficial para Visual Studio Code. La versión maliciosa utiliza el mismo ícono de globo terráqueo, descripción idéntica y contenido README copiado, cambiando sutilmente el namespace del publicador. Un desarrollador que busque rápidamente podría instalarla sin notar la diferencia.
Todas las extensiones identificadas fueron publicadas desde cuentas de GitHub recién creadas con un patrón consistente: uno o dos repositorios públicos, donde uno está vacío y nombrado con una cadena de ocho caracteres. Este patrón de infraestructura desechable sugiere automatización y premeditación a escala. La investigación de The Hacker News confirma que esta táctica permite al actor rotar identidades rápidamente cuando las extensiones son detectadas y eliminadas.
La entrega del malware ha evolucionado más allá del código embebido. Las variantes observadas utilizan múltiples mecanismos: dependencias transitivas a través de extensionPack y extensionDependencies, recuperación de payloads desde repositorios GitHub, e incluso binarios nativos específicos por plataforma. Una extensión ejemplo, boulderzitunnel.vscode-buddies, simplemente carga un módulo nativo según el sistema operativo y ejecuta una función install() que descarga y ejecuta código arbitrario en memoria. El código fuente visible de la extensión no refleja el comportamiento final del malware.
Oleadas anteriores de GlassWorm documentadas por Socket en marzo de 2026 ya mostraban el uso de memos de transacciones Solana como canales de dead-drop para recuperar payloads codificados en tiempo de ejecución. Esta técnica de "command and control" a través de blockchain dificulta el rastreo y permite al actor cambiar la infraestructura de entrega sin modificar la extensión itself.
Para los equipos de seguridad en LATAM, la implicación es directa: las herramientas de desarrollo son ahora superficie de ataque prioritaria. Las organizaciones deben implementar verificación de firmas de extensiones, restringir la instalación a marketplaces corporativos aprobados y monitorear activamente las actualizaciones de extensiones ya instaladas. Socket mantiene un listado actualizado de indicadores de compromiso en su página dedicada a GlassWorm v2.
FUENTE ORIGINAL
Socket↗CURADO POR
Alejandro Vargas