Koi Security tarafından tespit edilen GlassWorm adlı gelişmiş tehdit, Eylül 2025’te npm ekosistemini hedef alan Shai-Hulud solucanından sonra, sadece bir ay içinde DevOps dünyasında ikinci büyük tedarik zinciri saldırısı olarak öne çıkıyor. Bu saldırı, komut ve kontrol (C2) altyapısı için Solana blok zincirini kullanarak, geleneksel kapatma yöntemlerine karşı yüksek direnç sağlıyor. Ayrıca, Google Takvim platformu yedek C2 mekanizması olarak görev yapıyor.
Unicode Varyasyon Seçicileri ile Gizlenen Zararlı Kod
GlassWorm kampanyasının teknik yeniliği, zararlı kodun görünmez Unicode karakterleriyle kod editörlerinde fark edilmeden saklanmasıdır. Teknik raporunu sunan Idan Dardikman, saldırganların Unicode varyasyon seçicilerini kullandığını, bu karakterlerin görsel çıktı üretmeden kodu gizlediğini belirtiyor. Bu yöntem, özellikle MCP istemcileri ve Pydantic AI gibi gelişmiş analiz araçlarının tespit yeteneklerini aşmak için kullanılıyor.
Enfekte Edilen VS Code Eklentileri ve Yayılım Mekanizması
GlassWorm, npm, Open VSX ve Microsoft Extension Marketplace’teki toplam 14 eklentiyi hedef aldı ve yaklaşık 35.800 kez indirildi. İlk enfeksiyon dalgası 17 Ekim 2025’te gerçekleşti. Enfekte eklentiler, kimlik bilgileri ve kripto para cüzdanı verilerini çalmakla kalmayıp, geliştirici makinelerini SOCKS proxy sunucularına dönüştürerek, WebRTC tabanlı eşler arası iletişim ve BitTorrent’in Dağıtık Hash Tablosu (DHT) ile merkezi olmayan komut dağıtımı sağlıyor. Ayrıca, HVNC modülü sayesinde uzaktan gizli erişim imkanı sunuyor.
Blok Zinciri Tabanlı Komut ve Kontrol Altyapısı
Zararlı kod, Solana blok zincirinde saldırgan kontrolündeki bir cüzdana ait işlemleri tarıyor ve memo alanından Base64 kodlu komutları çıkarıyor. Bu komutlar, sonraki aşama yüklerini almak için “217.69.3[.]218” ve “199.247.10[.]166” IP adreslerindeki C2 sunucularına yönlendiriyor. Yük, kimlik doğrulama tokenları ve kripto cüzdanı verilerini çalan gelişmiş bir bilgi hırsızı içeriyor. Veriler, tehdit aktörlerinin kontrolündeki “140.82.52[.]31:80” adresine aktarılıyor.
Otomatik Güncellemelerle Hızlanan Yayılım
VS Code eklentilerinin otomatik güncelleme özelliği, GlassWorm’un kullanıcı müdahalesi olmadan yayılmasını kolaylaştırıyor. Bu durum, saldırının sadece tek seferlik bir tedarik zinciri saldırısı olmadığını, aynı zamanda otonom şekilde yayılan bir solucan olarak tasarlandığını gösteriyor. Saldırganlar, konteynerlerde rastgele açılan SSH portları ve AsyncRAT benzeri modüllerle tam kontrol sağlıyor ve böylece yazılım geliştirme ekosisteminde sürdürülebilir kötü amaçlı yazılım yayılımı gerçekleştiriyorlar.
Bu gelişme, blok zinciri tabanlı kötü amaçlı yazılım altyapılarının artan kullanımı ve Kuzey Koreli tehdit aktörlerinin de benzer teknikleri casusluk ve finansal amaçlı operasyonlarında kullanmasıyla paralel ilerliyor.