Un ataque a la cadena de suministro denominado GlassWorm, dirigido al mercado Open VSX, se ha intensificado con el descubrimiento de 73 nuevas extensiones "durmientes". Identificado en abril de 2026, este grupo representa un peligroso cambio en la forma en que los actores de amenazas distribuyen malware a desarrolladores de software. Esta actividad sigue a una gran oleada descubierta en marzo de 2026, donde los investigadores documentaron 72 extensiones maliciosas en Open VSX.

El ataque a la cadena de suministro GlassWorm, que apunta al mercado Open VSX, se ha intensificado con el descubrimiento de 73 nuevas extensiones “sleeper” (durmientes).

Identificado en abril de 2026, este grupo representa un cambio peligroso en la forma en que los actores de amenazas distribuyen malware a los desarrolladores de software.

Esta actividad sigue a una gran oleada descubierta en marzo de 2026, donde los investigadores documentaron 72 extensiones maliciosas de Open VSX vinculadas a la operación GlassWorm.

Las variantes anteriores abusaban de las funciones de dependencia de extensiones para instalar cargadores maliciosos de forma silenciosa. Sin embargo, el nuevo grupo de abril de 2026 muestra que los atacantes están evolucionando sus tácticas para evadir los escaneos de seguridad.

La estrategia de las extensiones durmientes

Una extensión durmiente es un paquete falso publicado por actores de amenazas antes de ser armado. Estas extensiones inicialmente parecen inofensivas para generar confianza visual, ganar credibilidad y acumular descargas.

Los atacantes usan cuentas de GitHub recién creadas para publicar versiones clonadas de herramientas populares.

Por ejemplo, los atacantes crearon un falso Paquete de Idioma Turco para Visual Studio Code que imitaba de cerca la versión legítima. Copiaron el icono del globo terráqueo y la descripción, cambiando únicamente el nombre del publicador.

Una vez que los desarrolladores instalan estas herramientas clonadas, los atacantes esperan antes de enviar una actualización de software que entrega el malware. Al menos seis de las 73 nuevas extensiones ya han sido activadas para distribuir cargas maliciosas.

Mecanismos de entrega en evolución

En esta última oleada, la extensión actúa solo como un cargador ligero para obtener cargas externas.

El código malicioso ya no es directamente visible en el código fuente de la extensión, lo que aumenta las posibilidades de evadir la detección.

La campaña utiliza dos métodos principales de ejecución:

• Binarios nativos: Archivos .node empaquetados están ocultos dentro del código de la extensión. Un simple archivo JavaScript ejecuta el binario, que contiene URLs incrustadas que descargan archivos .vsix maliciosos para IDEs como VS Code y Cursor.
• JavaScript ofuscado: La lógica maliciosa está fuertemente ofuscada y no depende de archivos binarios empaquetados. El código se decodifica en tiempo de ejecución, recupera una carga .vsix maliciosa desde una publicación de GitHub e instala el paquete mediante rutas de línea de comandos.

Indicadores de compromiso

Los equipos de seguridad deben monitorear los siguientes indicadores:

• Binarios de instalador nativos (SHA256): 1b62b7c2ed7cc296ce821f977ef7b22bae59ef1dcdb9a34ae19467ee39bcf168.
• Carga VSIX descargada (SHA256): 97c275e3406ad6576529f41604ad138c5bdc4297d195bf61b049e14f6b30adfd.
• Hosting malicioso en GitHub: github[.]com/SquadMagistrate10/wnxtgkih.
• Extensiones maliciosas confirmadas: outsidestormcommand, monochromator-theme, boulderzitunnel, vscode-buddies.

Según el Equipo de Investigación de Socket, los desarrolladores deben verificar los espacios de nombres de los publicadores e inspeccionar cuidadosamente los recuentos de descargas antes de instalar extensiones desde el mercado Open VSX.

El ataque a la cadena de suministro GlassWorm, que apunta al mercado Open VSX, se ha intensificado con el descubrimiento de 73 nuevas extensiones “sleeper”. Identificado en abril de 2026, este grupo representa un cambio peligroso en la forma en que los actores de amenazas distribuyen malware a los desarrolladores de software. Esta actividad sigue a una gran oleada descubierta en marzo de 2026, donde los investigadores documentaron 72 extensiones maliciosas de Open VSX [...]