自己拡散マルウェアGlassWormによる、OpenVSX・VS Code狙った新たなサプライチェーン侵害

佐々山 Tacos

2025.10.21

自己拡散マルウェアGlassWormによる、OpenVSX・VS Code狙った新たなサプライチェーン侵害

BleepingComputer – October 20, 2025

Shai Huludのような自己拡散性能を持つマルウェア「GlassWorm」を使った新たなサプライチェーン攻撃が、OpenVSXおよびMicrosoft Visual Studioマーケットプレイス上で見つかったという。Koi Securityが報告した。

ガラス（Glass）のように透明な悪性コード

Koi Securityの研究者らは、OpenVSX上の拡張機能「CodeJoy」のバージョン1.8.3で不審な挙動の変化が見受けられたことから調査を開始。ソースコードを確認したところ、数行にわたって空白部分が存在しているのを発見したという。これは実際には空白のスペースというわけではなく、人間の目には見えない印刷不可能なUnicode文字にエンコードされた悪意あるコード。これは「異体字セレクタ」と呼ばれるUnicodeの仕組みを利用したもので、開発者のコードレビューや静的アナリティクスツールによるスキャンでは確認できないが、JavaScriptインタプリタにとっては実行可能なコードとなる。「GlassWorm」というマルウェア名の「Glass」部分は、このように悪性コードが「ガラスのように透明」で視認できないことに由来しているという。

Shai Huludを思わせるワーム性能

侵害された拡張機能を開発者がインストールし、システムへの感染に成功したGlassWormマルウェアは、以下の認証情報を収集するとされる。

npmの認証トークン
GitHubトークン
OpenVSXの認証情報
Gitの認証情報
暗号資産ウォレット拡張機能（MetaMask、Phantom、Coinbase Walletなど49種類）

Koi Securityによれば、これは単なる窃取ではなく、自己伝播を目的に行われ、盗んだ認証情報によって自動的に感染が広がる仕組みが用意されているという。以下が、GlassWormの自己複製サイクル。

初期感染：正規の拡張機能に悪性コードがプッシュされる
無色透明なペイロード：Unicodeで隠されたマルウェアが被害者マシン上で実行される
認証情報の窃取：上記の認証情報が窃取される
自動拡散：盗んだ認証情報を使い、さらなるパッケージや拡張機能が侵害される
急激な増殖：感染した被害者1人1人が感染ベクターとなり、感染を広げる
リピート：上記のサイクルが自動的に繰り返される

C2インフラにブロックチェーンを利用

GlassWormのさらなる特徴の1つが、SolanaブロックチェーンをC2インフラとして利用している点。同マルウェアはまず、同ブロックチェーン上でハードコードされたウォレットアドレスからのトランザクションを検索し、これが見つかるとメモフィールドに埋め込まれたJSONオブジェクトを読み込む。このオブジェクトに含まれるbase64エンコードされたリンク（デコードすると、http[:]//217[.]69[.]3[.]218/qQD%2FJoi3WCWSk8ggGHiTdg%3D%3D）により、次段階のペイロード「Zombi」をダウンロードするという。ブロックチェーン上のトランザクションは修正や削除ができないことから、攻撃者はC2サーバーのテイクダウンやドメインの差し押さえを懸念する必要がない。また、匿名性が確保される点や、セキュリティツールにフラグを立てられない点、安価に運用できる点なども攻撃者にとってプラスに働くという。

Googleカレンダーを利用したバックアップオプションも

GlassWallはバックアップのC2メカニズムとして、Googleカレンダー上のイベントも用意。このイベントタイトル（aHR0cDovLzIxNy42OS4zLjIxOC9nZXRfem9tYmlfcGF5bG9hZC9xUUQlMkZKb2kzV0NXU2s4Z2dHSGlUdg==）がbase64エンコードされたURLとなっており、これがペイロード「Zombi」のダウンロード先（http[:]//217[.]69[.]3[.]218/get_zombi_payload/qQD%2FJoi3WCWSk8ggGHiTdg%3D%3D）を示しているという。Koi SecurityはGoogleカレンダーがチョイスされた理由について、無料かつ正規のツールでブロックされる恐れがない点や、イベントを編集すればいつでも簡単に内容をアップデートできる点、セキュリティ管理策を完全にバイパスできる点、排除不可能なインフラである点を挙げている。

Zombiペイロード

Koi Securityによれば、ZombiはフルスペクトラムのRATモジュールで、感染したあらゆる開発者のワークステーションを「犯罪インフラネットワーク」のノードに変えてしまうという。具体的には、Zombiの性能には以下が含まれる上、動的な機能アップデートにも対応しているとされる。

SOCKSプロキシ：被害者PCをSOCKSプロキシサーバーに変える。これにより、被害者のネットワークを通じた攻撃のルーティングが可能になる。
WebRTC P2P：WebRTCモジュールをダウンロード・展開し、従来型のファイアウォールを迂回したダイレクトなP2P通信を実現する。
BitTorrent DHT：BitTorrentの分散ハッシュテーブル（DHT）を使って排除不可能なコマンド分散の仕組みを実現する。
HVNC：隠しVirtual Network Computing（HVNC）により、視認不可能なリモートデスクトップアクセスを実現する
自動リスタート：何らかの不具合や障害が生じても自動で再スタートできる

上記の性能により、感染したシステムは内部ネットワークへのアクセスポイントとなって永続的なバックドアの役割を果たすだけでなく、ほかの内部システムを攻撃するためのプロキシや、機微なデータの抽出チャネル、またC2リレーポイントとしても悪用されてしまうことになる。

進行中のサプライチェーン攻撃

Koi Securityによれば、2025年10月17日にOpenVSX上の拡張機能7件が侵害され、その後の2日間ほどでOpenVSXおよびVS Code上に感染が広がったという。侵害が確認されたものは少なくとも以下の11件で、合計ダウンロード数は35,800件ほどに上る。うち少なくとも4件は10月20日の時点でまだダウンロード可能だったとされる。

codejoy.codejoy-vscode-extension@1.8.3および1.8.4
l-igh-t.vscode-theme-seti-folder@1.2.3（発行者により悪性コードを削除したものへアップデート済み）
kleinesfilmroellchen.serenity-dsl-syntaxhighlight@0.3.2
JScearcy.rust-doc-viewer@4.2.1
SIRILMP.dark-theme-sm@3.11.4
CodeInKlingon.git-worktree-menu@1.0.9および1.0.91（発行者により悪性コードを削除したものへアップデート済み）
ginfuru.better-nunjucks@0.3.2
ellacrity.recoil@0.7.4
grrrck.positron-plus-1-e@0.0.71
jeronimoekerdt.color-picker-universal@2.8.91
srcery-colors.srcery-colors@0.3.9
cline-ai-main.cline-ai-agent@3.1.3（Microsoft VS Code、マイクロソフトにより削除済み）

GlassWormキャンペーンのC2およびペイロードサーバーは今もアクティブであり、これが「現在進行中」のサプライチェーン侵害である点をKoi Securityは強調。加えて、VS Code拡張機能は自動アップデートされるため、マルウェア付きの新たなバージョンがプッシュされれば、当該拡張機能をインストール済みの開発者誰もが感染済みバージョンを自動的に取得することになる点についても注意を促している。