Een nieuwe reeks aanvallen met de GlassWorm-malware richt zich specifiek op macOS-ontwikkelaars. De malware zoekt onder meer naar apps gerelateerd aan hardwarematige cryptowallets, en vervangt deze apps met een malafide variant.

De GlassWorm-malware wordt al langer verspreid. GlassWorm verscheen in oktober voor het eerst in de Microsoft Visual Studio Marketplace. Eenmaal geïnstalleerd zoekt de malware naar inloggegevens voor GitHub-, npm- en OpenVSX-accounts, evenals data gerelateerd aan cryptowallets. Ook kan de malafide software internetverkeer met behulp van een SOCKS-proxy via het systeem van het slachtoffer omleiden.

GlassWorm dook begin november opnieuw op op de OpenVSX Marketplace en verscheen vervolgens begin december op de VSCode Marketplace. Onderzoekers van Koi Security melden nu een nieuwe GlassWorm-campagne te hebben ontdekt. Deze is specifiek gericht op macOS-systemen, terwijl eerdere versies juist op Windows gericht waren. Waar eerdere varianten daarnaast gebruikmaakten van onzichtbare Unicode of gecompileerde Rust-binaries, maakt de nieuwste versie van GlassWorm gebruik van een AES-256-CBC-versleutelde payload die embedded is in JavaScript.

De malware richt zich op ruim 50 verschillende crypto-gerelateerde browserextensies. Daarnaast zoekt GlassWorm naar inloggegevens voor GitHub en npm. Tot slot probeert de software browserdata en Keychain-wachtwoorden te stelen.

Opvallend is ook een nieuwe functionaliteit die zoekt naar apps voor hardwarematige cryptowallets zoals Ledger Live en Trezor Suite. De malware vervangt deze apps met een malafide variant, met als doel toegang te krijgen tot cryptowallets. Deze functionaliteit werkt nog niet volledig; Koi Security meldt dat de malafide wallets die GlassWorm installeert momenteel lege data terugsturen naar de aanvallers. De onderzoekers vermoeden dat de aanvallers nog bezig zijn met het opzetten van de achterliggende infrastructuur, of dat de functionaliteit nog in ontwikkeling is.