GlassWorm là một loại mã độc (worm) tự lây lan đầu tiên được ghi nhận, chuyên biệt nhắm mục tiêu vào các tiện ích mở rộng của VS Code trên marketplace OpenVSX. Mã độc này phát tán các payload độc hại tàng hình và sử dụng hạ tầng điều khiển phi tập trung, khiến việc phát hiện và vô hiệu hóa trở nên vô cùng khó khăn. Sự xuất hiện của GlassWorm đánh dấu một bước tiến nguy hiểm trong các cuộc tấn công chuỗi cung ứng phần mềm.

Tổng quan về GlassWorm

Lần đầu được phát hiện vào ngày 17 tháng 10 năm 2025 bởi Koi.ai (Nguồn), GlassWorm tấn công các máy tính của nhà phát triển bằng cách chèn mã Unicode vô hình. Mã độc này thu thập thông tin xác thực, rút sạch ví tiền điện tử và biến các hệ thống bị nhiễm thành các node proxy cho hoạt động tội phạm.

Điểm đáng chú ý là GlassWorm sử dụng blockchain và Google Calendar làm xương sống cho hệ thống command-and-control (C2) bất khả hủy diệt, đảm bảo khả năng kiểm soát liên tục.

Mã độc tàng hình của GlassWorm: Kỹ thuật “Glass Code”

Đổi mới cốt lõi của GlassWorm nằm ở việc sử dụng các ký tự Unicode variation selectors không in được để nhúng mã JavaScript độc hại vào các gói tiện ích mở rộng VS Code mà không để lại bất kỳ dấu vết trực quan nào.

Trong tiện ích mở rộng CodeJoy (phiên bản 1.8.3) bị xâm phạm, hàng trăm dòng trống trong mã nguồn thực chất chứa mã thực thi. Chúng xuất hiện dưới dạng dòng trắng trong các môi trường phát triển tích hợp (IDE) và công cụ so sánh mã (diff tools).

Cơ chế Vượt qua Phát hiện

• Các ký tự Unicode đặc biệt này bị bỏ qua bởi các công cụ quét tĩnh và người đánh giá mã nguồn.
• Tuy nhiên, chúng vẫn được công cụ JavaScript phân tích và thực thi.
• Điều này cho phép worm thực thi mã mà không gây nghi ngờ, phá vỡ giả định lâu đời rằng việc xem xét mã nguồn thủ công có thể phát hiện các mối đe dọa ẩn.
• Kỹ thuật “glass code” này giúp kẻ tấn công phân phối mã độc tàng hình cho hàng nghìn người dùng chỉ trong một bản cập nhật duy nhất.

Hạ tầng Điều khiển & Kiểm soát (C2) Phi tập trung

Blockchain Solana làm C2 Chính

Sau khi payload vô hình được thực thi, GlassWorm liên hệ với blockchain Solana để nhận hướng dẫn C2. Nó quét các giao dịch gần đây từ một địa chỉ ví được mã hóa cứng, đọc trường “memo” chứa một liên kết tải xuống được mã hóa base64 và tìm nạp payload tiếp theo.

Cách tiếp cận này tận dụng một sổ cái bất biến, phi tập trung, không thể bị gỡ xuống hoặc sửa đổi. Điều này đảm bảo kẻ tấn công có thể duy trì quyền kiểm soát liên tục.

Google Calendar làm C2 Dự phòng

Làm phương án dự phòng, worm truy xuất các URL payload thay thế được mã hóa trong tiêu đề sự kiện của Google Calendar. Kỹ thuật này khai thác một dịch vụ hợp pháp để vượt qua các hạn chế mạng.

Ngay cả khi các biện pháp phòng thủ chặn các IP đã biết (ví dụ: 217.69.3.218) hoặc tên miền, kẻ tấn công chỉ cần đăng các giao dịch Solana mới hoặc cập nhật sự kiện lịch, đảm bảo kiểm soát liên tục các hệ thống bị nhiễm.

Module ZOMBI: Trojan Truy cập Từ xa Đầy đủ Tính năng

Giai đoạn cuối cùng của GlassWorm, được gọi là module ZOMBI, giải phóng một trojan truy cập từ xa (RAT) đầy đủ tính năng. Các máy bị nhiễm có thể:

• Hoạt động như các node proxy cho các hoạt động tội phạm.
• Trở thành một phần của mạng botnet.
• Bị sử dụng để khai thác tiền điện tử.
• Phục vụ làm bệ phóng cho các cuộc tấn công tiếp theo.
• Thực hiện các lệnh từ xa do kẻ tấn công kiểm soát.

Tự Nhân Bản và Tấn công Chuỗi Cung ứng

Ngoài việc thu thập thông tin xác thực — bao gồm token NPM, thông tin xác thực GitHub và Git, quyền truy cập OpenVSX và 49 tiện ích mở rộng ví tiền điện tử — GlassWorm tự động sử dụng các token bị đánh cắp để xuất bản các bản cập nhật độc hại cho các tiện ích mở rộng mới. Điều này tạo ra một vòng lặp tự nhân bản.

Chu trình tự nhân bản này phản ánh hành vi của worm Shai-Hulud npm nhưng với sự tinh vi vượt trội: kỹ thuật chèn mã vô hình thực sự, C2 dựa trên blockchain, khả năng dự phòng đa lớp và chức năng RAT hoàn chỉnh. Đây là một ví dụ điển hình về tấn công chuỗi cung ứng phần mềm ngày càng phức tạp.

Mức độ Ảnh hưởng và Tình trạng Hiện tại

GlassWorm đã xâm phạm bảy tiện ích mở rộng OpenVSX, tổng cộng đã được tải xuống hơn 35.800 lần. Tại thời điểm viết bài, mã độc này vẫn đang hoạt động trên cả OpenVSX và marketplace VS Code của Microsoft.

Hiện tại, mười tiện ích mở rộng vẫn tiếp tục phát tán GlassWorm. Các nhà phát triển có tiện ích mở rộng bị nhiễm phải đối mặt với nguy cơ bị đánh cắp thông tin xác thực, rút sạch ví tiền điện tử và vô tình tham gia vào các mạng proxy và botnet toàn cầu.

Hai tác giả tiện ích mở rộng — vscode-theme-seti-folder và git-worktree-menu — đã triển khai các bản cập nhật sạch. Tuy nhiên, năm dự án bị xâm phạm khác vẫn đang chờ khắc phục.

Thách thức đối với Phòng thủ Truyền thống

Sự xuất hiện của GlassWorm đánh dấu một sự phát triển nguy hiểm trong các cuộc tấn công chuỗi cung ứng phần mềm. Các phương pháp phòng thủ truyền thống như xem xét mã nguồn thủ công, phát hiện dựa trên chữ ký và các hoạt động gỡ bỏ tập trung đều không hiệu quả đối với mã vô hình và C2 phi tập trung.

Khuyến nghị và Biện pháp Giảm thiểu

Các doanh nghiệp và nhà phát triển phải ngay lập tức kiểm tra lại các tiện ích mở rộng VS Code đã cài đặt, thu hồi và xoay vòng tất cả thông tin xác thực. Đồng thời, cần triển khai các hệ thống giám sát hành vi nâng cao có khả năng phát hiện các payload Unicode ẩn và các kết nối mạng bất thường.

Cho đến khi các công cụ bảo mật thích ứng với các kỹ thuật tàng hình mới này, mọi máy trạm của nhà phát triển đều có thể đóng vai trò là một node vô hình trong mạng hạ tầng tội phạm. Việc bảo vệ chống lại mối đe dọa mạng tàng hình đã trở thành ưu tiên hàng đầu để đảm bảo an toàn cho các quy trình phát triển phần mềm trên toàn thế giới.