Glassworm riemerge: attacco massiccio a github sfrutta codice nascosto
Un'ondata di malware sta colpendo GitHub, compromettendo centinaia di repository e mettendo a rischio dati sensibili. L'attacco, condotto dall'attore della minaccia Glassworm, sfrutta tecniche sofisticate di occultamento di codice per iniettare codice dannoso, come ha subito evidenziato il team di sicurezza Aikido.
Il ritorno di Glassworm, attivo fin dal 2023, ha interessato repository di rilievo come Wasmer, Reworm e Anomalyco, dietro a progetti popolari come OpenCode e SST. La minaccia si è estesa oltre GitHub, raggiungendo anche strumenti fondamentali per gli sviluppatori come npm, utilizzato per gestire le dipendenze in linguaggi come JavaScript.
Codice invisibile, minaccia reale
La strategia degli attaccanti si basa sull'uso di caratteri Unicode invisibili per codificare il payload malevolo all'interno di stringhe apparentemente vuote. Questi caratteri, difficilmente rilevabili dagli editor di testo standard, consentono di eludere i controlli di sicurezza e di nascondere il codice dannoso. Una volta decodificato, il payload esegue un secondo script tramite Solana, un network blockchain, per rubare token, credenziali e dati personali.
La superficie di attacco è notevolmente aumentata rispetto agli attacchi precedenti, interessando 200 repository Python, 151 JavaScript e TypeScript, 72 estensioni VSCode e una decina di pacchetti npm. Questo suggerisce che Glassworm potrebbe aver compromesso anche servizi non ancora identificati, rendendo la localizzazione delle anomalie un compito arduo.
Gli esperti di Aikido sospettano l'impiego di intelligenza artificiale per automatizzare la modifica dei repository, data la vastità dei cambiamenti apportati. La cifra parla da sé: modificare manualmente più di 151 modifiche di codice su diverse basi di codice è praticamente impossibile. La variabile "lzcdrtfxyqiplpd" è un indicatore chiave del malware Glassworm.
Per proteggersi, gli sviluppatori sono consigliati di installare i pacchetti Python direttamente da GitHub o di eseguire i repository clonati per verificare l'integrità del codice. La velocità con cui queste modifiche si diffondono evidenzia la necessità di un approccio proattivo alla sicurezza del codice.
La riemersione di Glassworm è un campanello d'allarme per la comunità di sviluppo: la sofisticazione degli attacchi richiede un costante aggiornamento delle pratiche di sicurezza e una maggiore attenzione ai dettagli, anche quelli nascosti.