Vírus GlassWorm Evolui e Explora Servidores de IA Através de Extensões Maliciosas em Zig
Uma nova variante do vírus GlassWorm foi identificada por pesquisadores de segurança, explorando servidores de Inteligência Artificial através de extensões maliciosas compiladas em Zig. O malware se disfarça como ferramentas legítimas de produtividade, utilizando binários nativos para contornar sandboxes de JavaScript e obter acesso irrestrito aos sistemas.
Técnica de Infecção do GlassWorm
A mais recente campanha do GlassWorm utiliza um binário compilado na linguagem Zig para instalar silenciosamente uma extensão maliciosa em ambientes de desenvolvimento integrado (IDEs). Identificada como 'specstudio.code-wakatime-acrivity-tracker' no repositório Open VSX, a extensão se passava por uma ferramenta de rastreamento de produtividade legítima. Os pesquisadores da Aikido Security removeram a extensão após sua descoberta. A extensão instalava um arquivo nativo do Node.js, conhecido como 'win.node' para Windows e 'mac.node' para macOS. Estes arquivos funcionam como bibliotecas compartilhadas compiladas em Zig, que são carregadas diretamente no runtime do Node. Por serem executadas fora do sandbox do JavaScript, elas possuem acesso ilimitado ao sistema operacional. Os arquivos .node, sendo bibliotecas nativas, não passam pelo ambiente restrito do JavaScript, permitindo que o código opere com o mesmo nível de privilégio do processo do Node. Isso concede ao binário a capacidade de ler arquivos, abrir conexões de rede, executar processos e acessar variáveis de ambiente sem restrições impostas pelo editor.
Evolução da Sexta Onda da Campanha GlassWorm
De acordo com o pesquisador Ilyas Makari, esta é a sexta onda da campanha GlassWorm a recorrer a código nativo compilado em extensões. A principal novidade desta versão é que o binário não representa o payload final do malware, indicando uma evolução na estratégia de ataque.