De plus en plus les outils de développement intéressent les cybercriminels pour déployer des malwares. Des experts de l’entreprise de sécurité Socket ont identifié une campagne contre Open VSX, un référentiel d’extensions pour les développeurs. Ils ont trouvé depuis le 31 janvier dernier au moins 72 extensions compromises se faisant passer pour des outils officiels comme des linters, des bases de données ou des intégrations pour les assistants IA de codage (Kiro, Cursor, Antigravity,…). Ces extensions ont servi au groupe Glassworm de s’en servir comme vecteur pour diffuser des malwares.

« Au lieu d’exiger que chaque entrée malveillante intègre directement le chargeur, l’acteur malveillant abuse désormais des éléments « extensionPack » et « extensionDependencies » pour transformer des extensions qui paraissent initialement autonomes en vecteurs de diffusion de transition lors de mises à jour ultérieures », expliquent les chercheurs. Ils ajoutent, « un paquet d’apparence inoffensive peut ainsi commencer à récupérer une extension distincte liée à Glassworm uniquement une fois la confiance établie ». Pour eux, « cette nouvelle campagne conserve techniquement les mêmes techniques de base que Glassworm tout en améliorant sa capacité de survie et d’évasion »

Une attaque de type supply chain

Les deux fonctionnalités « extensionPack » et « extensionDependencies » sont couramment utilisées par celles de Visual Studio Code pour en regrouper ou en requérir d’autres. Selon Socket, les cybercriminels publient des extensions d'apparence inoffensive qui, après avoir gagné la confiance des utilisateurs et passé les contrôles des places de marché, sont ensuite mises à jour pour inclure des dépendances vers d'autres extensions contenant le chargeur Glassworm. Lors de l'installation ou de la mise à jour, l'éditeur installe automatiquement toutes les extensions référencées, y compris la charge utile malveillante. Ce modèle de diffusion transitive crée une brèche similaire à l'exploitation des dépendances dans les écosystèmes de paquets comme npm.

Un abus récent a impliqué la compromission d'un mainteneur, conduisant à des mises à jour malveillantes propageant un malware de type porte dérobée. La tristement célèbre campagne Shai-Hulud, qui a compromis plus de 800 paquets en novembre 2025, est un autre exemple d'exploitation des dépendances à propagation automatique. Cette approche réduit probablement la charge opérationnelle pour les attaquants. Au lieu d'intégrer le chargeur dans chaque extension malveillante, ils peuvent gérer un nombre plus restreint d'extensions de charge utile tout en les distribuant via un réseau plus étendu de relations de dépendance.

Évolution de la campagne Glassworm

Des recherches antérieures sur l'opération Glassworm ont révélé des techniques telles qu'une forte obfuscation du code, l'utilisation de caractères Unicode pour dissimuler la logique malveillante, et une infrastructure qui récupère les serveurs de commande et de contrôle via des transactions blockchain, rendant la campagne plus résistante aux mesures de démantèlement. Cette dernière vague imite également des outils de développement largement utilisés afin d’optimiser ses chances d’être installée. « Ces extensions se font très majoritairement passer pour des utilitaires de développement très répandus : des linters et des formateurs comme ESLint et Prettier, des exécuteurs de code, des outils de langage populaires pour Angular, Flutter, Python et Vue, ainsi que des extensions courantes facilitant le travail quotidien telles que vscode-icons, WakaTime et Better Comments », ont indiqué les chercheurs. « Il convient de noter que la campagne cible également les outils de développement basés sur l'IA, avec des extensions visant Claude Code, Codex et Antigravity. »

Les chercheurs ont ajouté qu'au 13 mars, Open VSX avait supprimé la majorité des extensions malveillantes, mais que quelques-unes restaient actives, ce qui indique que les suppressions se poursuivent. Socket a publié des indicateurs de compromission (IOC) liés à la campagne, notamment les noms de dizaines d’extensions Open VSX malveillantes et les comptes d’éditeurs associés soupçonnés d’être liés à l’opération. De plus, les chercheurs recommandent de traiter les dépendances des extensions avec la même rigueur que celle généralement appliquée aux solutions logicielles. Les entreprises devraient surveiller les mises à jour des extensions, auditer les relations de dépendance et limiter l’installation aux éditeurs de confiance dans la mesure du possible, car les attaquants exploitent de plus en plus l’écosystème des outils de développement comme point d’entrée dans la chaîne d’approvisionnement.