GlassWorm Teror di Open VSX

GlassWorm Teror di Open VSX – Malware GlassWorm pertama kali muncul tahun lalu dengan misi tunggal, mencuri data dari mesin para pengembang untuk melancarkan serangan supply chain (rantai pasok) tingkat lanjut.

Hingga Maret 2026, riset terbaru dari peneliti keamanan menunjukkan bahwa malware ini telah berevolusi menjadi jauh lebih sulit dideteksi.

Bagaimana Siklus Infeksinya?

GlassWorm bekerja seperti parasit yang merambat melalui ekosistem pengembangan:

1. Infeksi Awal: Pengembang mengunduh ekstensi yang telah diracuni di Open VSX.
2. Pencurian Data: Malware mencuri rahasia (secrets) dan kredensial (seperti token GitHub, NPM, dan kunci akses sistem).
3. Penyebaran: Penyerang menggunakan kredensial curian tersebut untuk menerbitkan versi “beracun” dari proyek-proyek yang dikelola oleh korban tersebut.
4. Dampak Hilir: Pengguna lain mengunduh proyek tersebut, dan siklus infeksi pun berlanjut.

1. Penonaktifan Paksa Windows Defender

Inovasi Berbahaya

Hal yang paling mengkhawatirkan dari gelombang serangan Maret 2026 ini adalah penggunaan transitive dependencies.

Dulu, paket berbahaya biasanya mengandung kode jahat langsung di dalam file-nya. Sekarang, GlassWorm menggunakan fitur extensionPack dan extensionDependencies pada Open VSX.

• Paket utama yang Anda unduh mungkin terlihat 100% bersih dan aman saat diperiksa secara manual.
• Namun, paket tersebut memerintahkan sistem untuk mengunduh “ekstensi pendukung” yang sebenarnya mengandung infostealer GlassWorm.
• Ini menurunkan visibilitas ancaman dan menyulitkan tim audit untuk menyaring mana yang berbahaya dan mana yang bukan.

Data Apa Saja yang Dicuri?

GlassWorm tidak hanya mengincar akun coding Anda. Malware ini adalah “penyedot data” yang sangat rakus, mengambil:

• Kredensial NPM, GitHub, dan Git.
• Dompet mata uang kripto (Cryptocurrency Wallets).
• Data sistem macOS dan basis data Apple Notes.
• Keychain, Safari cookies, dan konfigurasi VPN.
• Basis data kata sandi peramban (Web browser).

Taktik Evasio yang Semakin Canggih

Selain menggunakan ketergantungan transitif, GlassWorm menerapkan beberapa teknik penghindaran deteksi yang sangat teknis:

• Blockchain Command & Control (C2): Menggunakan memo transaksi di blockchain Solana untuk terhubung ke server pengendali. Ini membuat jejak komunikasinya hampir mustahil untuk diblokir oleh sistem keamanan jaringan tradisional.
• Geofencing: Malware ini diprogram untuk tidak menyerang korban yang berada di Rusia (kemungkinan besar untuk menghindari kejaran penegak hukum setempat).
• Manipulasi Popularitas: Penyerang menggelembungkan jumlah unduhan hingga ribuan agar ekstensi terlihat tepercaya dan populer di mata pengembang.

Langkah Perlindungan bagi Pengembang & Organisasi

Bagi Anda yang sering menggunakan ekstensi di VS Code atau Open VSX, berikut adalah langkah pertahanannya:

1. Periksa perubahan versi pada manifest ekstensi, terutama pada bagian extensionPack atau extensionDependencies. Jika sebuah ekstensi yang biasanya mandiri tiba-tiba membutuhkan ketergantungan baru, waspadalah.
2. Lakukan hunting pada sistem untuk mencari loader berbasis JavaScript yang mencurigakan dan komunikasi ke alamat blockchain Solana.
3. Gunakan vendor keamanan yang mampu melakukan pemindaian hingga ke lapisan dependensi terdalam (transitive dependencies).
4. Ingat bahwa ekstensi yang hari ini aman, bisa menjadi berbahaya besok melalui pembaruan (update) otomatis.

Sumber berita:

WeLiveSecurity