GlassWorm如何将VS Code扩展变为macOS上的自传播毒株-编程实验室

GlassWorm如何将VS Code扩展变为macOS上的自传播毒株

——一名安全研究员对新型供应链攻击的技术追踪与思考

近日，我在浏览多个安全技术公众号时，注意到一则关于“GlassWorm恶意软件通过VS Code扩展攻击macOS开发者”的警示性报道。文章简要描述了这一新型威胁的传播方式和攻击目标，指出其专门窃取加密货币钱包数据，并强调了开发工具供应链安全的重要性。

作为macOS与VS Code的使用者，这则消息立即引起了我的警觉。我本人长期关注macOS威胁与供应链攻击。公开报道受限于篇幅，多侧重于风险提示。这促使我决定沿着这条线索展开独立的技术调查，结合内部威胁情报与逆向分析，试图从更严谨的技术视角还原GlassWorm更完整的技术面貌，并形成这篇分析报告。

一、威胁定性：为何GlassWorm值得警惕？

GlassWorm代表了一类高度精准化、自动化的定向攻击。它明确瞄准了“加密货币持有者”与“软件开发者”这一交叉高危群体，通过污染开发者工具链实现“精准投毒”。其“自传播”特性试图放大威胁半径，可能从一个受感染的开发项目蔓延至整个协作网络。

二、技术链条深度剖析：攻击如何步步为营？

基于对相关样本及行为日志的分析，我将其攻击生命周期重构如下：

阶段一：投毒 – 信任的突破口与用户诱导

攻击始于一个被植入后门的VS Code扩展。攻击者策略包括仿冒或入侵合法扩展。一个关键且常被忽略的环节是权限诱导：VS Code扩展需要在其package.json中显式声明所需权限（如filesystem、terminal）。恶意扩展会通过描述其“高级功能”（如“深度代码分析”、“智能重构”）来“合情化”对过度权限的请求。用户在安装时，必须点击同意这些权限提示，攻击链才得以启动。恶意代码被深度混淆，其activationEvents（如onStartupFinished）确保扩展在后台静默激活。

阶段二：执行与持久化 – 站稳脚跟（及SIP的局限性）

扩展激活后，恶意载荷执行：

环境侦察：收集系统信息，特别关注钱包软件。
建立用户级持久化：在~/Library/LaunchAgents下创建.plist文件。这里需要明确一个重要的防御误区：macOS的系统完整性保护（SIP）主要限制对受保护的系统级目录（如/System、/usr）的写入，而~/Library/LaunchAgents属于用户主目录，不在SIP的保护范围内。因此，SIP无法阻止此类用户级持久化文件的创建，其核心作用是防止恶意软件篡改系统核心组件。
进程伪装：将恶意操作注入到node、bash等合法子进程中，规避监控。

阶段三：数据收割与横向移动 – 核心目标与有条件扩散

此阶段实现“窃取”与“传播”双线并行。

数据窃取路径：

针对性扫描：按照预定义路径列表，深度扫描用户目录，寻找钱包数据、密钥文件。
信息打包与外传：将窃取的数据加密后，通过HTTPS或DNS隧道等隐蔽信道外传。

自传播机制（及其现实限制）：

本地Git仓库感染：在项目的依赖或构建脚本中植入恶意代码。
尝试利用CI/CD管道：这是攻击者追求横向移动的高阶手段，但其成功严重依赖目标环境的权限配置。恶意软件需要能够写入项目的CI配置文件（如.github/workflows/*.yml）。在权限控制严格的环境中（如仓库受保护分支、CI Runner以最小权限运行），此类注入尝试会失败。这一前提必须在分析中明确。
供应链污染尝试：尝试窃取开发者凭据，向公开包仓库发布带毒版本。

阶段四：隐身与对抗 – 长期潜伏

流量伪装：C2通信模拟成与合法服务的正常交互。
动态载荷：从C2动态获取核心功能，内存中执行，减少磁盘痕迹。

三、防御矩阵：从意识到实践

基于以上分析，防御必须层层递进，且理解每层防御的精确边界：

个人开发者应立即采取的举措：

扩展安全审查与权限意识：
- 警惕权限请求：安装扩展时，仔细审查其请求的权限是否与其功能相符。对“格式化工具”请求“终端访问”保持高度怀疑。
- 最小安装原则：仅安装必需且信誉极高的扩展。
环境隔离与有效加固：
- 专用非管理员账户：使用标准用户账户进行开发。
- 钱包活动物理隔离：使用完全独立的设备处理加密货币资产，这是最有效的隔离。
- 正确认识SIP：启用SIP仍是重要的基础安全措施，可用于防护系统层篡改，但需明白它不能替代对用户目录（如~/Library）的主动监控。应结合使用工具监控用户启动项的变化。
主动监控：
- 定期检查~/Library/LaunchAgents、~/Library/LaunchDaemons、crontab (crontab -l)。
- 使用网络监控工具审查异常出站连接。

企业与团队应建立的防线：

制定开发工具供应链策略：
- 建立内部扩展白名单与私有镜像，并进行安全审计。
强化代码仓库与CI/CD安全：
- 实施严格的分支保护策略和代码审查流程，防止对关键配置文件的随意写入。
- 最小权限原则配置CI/CD Runner，确保构建任务无法自我提权或修改流水线定义。
- 定期扫描仓库历史与依赖关系。
端点检测与响应：
- 部署能监测异常子进程行为、敏感文件访问模式（如遍历性读取特定路径）的EDR解决方案。