Die von Security-Spezialistinnen und -Spezialisten "Glassworm" genannte Supply-Chain-Attacke auf die Gemeinde der Software-Entwickler ist im vergangenen Oktober erstmals beobachtet worden. Die Angreifer verwenden dabei nicht unmittelbar sichtbare Unicode-Symbole, um bösartigen Code in Software-Paketen und Visual-Studio-Extensions zu verstecken. Anfangs war die Angriffskampagne noch relativ beschränkt und betraf die OpenVSX-Registry sowie den Visual-Studio-Code-Marktplatz von Microsoft.

Seither gab es mehrere Angriffswellen und die Liste der Ziele weitete sich immer mehr aus. Gegenwärtig ist nun die bisher grösste Angriffskampagne im Gang, wie Security-Spezialistinnen und -Spezialisten von Aikido, Socket, Step Security sowie aus der OpenSourceMalware-Community übereinstimmend berichten.

Gemäss ihren Erkenntnissen sind aktuell 200 Python-Repositories und 151 Javascript/Typescript-Repositories auf Github mit Malware verseucht. Dazu kommen 72 Visual-Studio-Extensions und zehn npm-Pakete.

Die Attacken starten damit, dass die Angreifer Github-Konten knacken, um dann die dort vorhandenen Software-Pakete mit der erwähnten, mittels Unicode-Symbolen versteckten Malware zu infizieren. Wenn sie auf die Systeme von Entwicklerinnen und Entwicklern gelangt, kann die Malware Login-Informationen, Zugangstokens, kryptografische Schlüssel und weitere Daten abgreifen. Zusätzlich sucht sie auch spezifisch nach Passwörtern für Krypto-Wallets.

Detailliertere Informationen darüber, wie eine Infizierung verhindert oder entdeckt werden kann, findet man unter anderem auf der Webseite von Aikido.