🗓️ Contexte Source : Cyber Press, publié le 5 octobre 2026. L’enquête a été menée par Socket, qui a identifié un groupe d’extensions de thèmes Visual Studio Code liées à la campagne malware GlassWorm, ciblant spécifiquement les développeurs via le Visual Studio Marketplace et le registre Open VSX.
🎯 Extensions identifiées Deux extensions confirmées comme malveillantes et plusieurs thèmes associés ont été découverts :
Aurora Nocturne Night Theme : contenait un téléchargeur Windows dissimulé dans le package distribué. Le fichier JavaScript (~59 Ko) utilisait des noms aléatoires, des échappements hexadécimaux et des caractères Unicode invisibles pour masquer sa charge utile. Après décodage, il contactait fingercakes4sale[.]store, téléchargeait du contenu contrôlé par l’attaquant et le sauvegardait sous %TEMP%\temp_batch.cmd, puis l’exécutait via cmd.exe en masquant la fenêtre. L’extension était publiée sous l’identité microsoft pour se faire passer pour une extension officielle. Cosmic Nebula Themes : décryptait du JavaScript embarqué via AES-256-CBC et l’exécutait immédiatement via eval(). Le loader vérifiait les paramètres de langue et de fuseau horaire pour éviter les systèmes russes, puis interrogeait des mémos de transactions Solana pour obtenir l’adresse du prochain payload. Socket a attribué cette extension à GlassWorm avec haute confiance. Coca-Cola Christmas et Aurora Borealis Studio Theme : classifiées à haut risque, contenant du JavaScript exécutable et des liens de développement partagés avec les malwares confirmés. Plus de 8 000 installations sur le Marketplace combinées. 🔗 Infrastructure et attribution La même adresse Solana, clé de chiffrement et pattern d’exécution ont été retrouvés dans des activités GlassWorm précédemment documentées. Des commentaires en langue russe, des définitions de thèmes quasi-identiques et du code de page d’accueil partagé relient trois comptes GitHub entre eux. La blockchain Solana est utilisée comme mécanisme de C2 dynamique, permettant de changer l’infrastructure sans publier de nouvelle version d’extension. Sur Open VSX : 6 identités d’extensions liées ont été trouvées, dont Coca-Cola Christmas (~39 000 téléchargements) et Charcoal Mint (~10 000 téléchargements). 🧩 Vecteur d’attaque Les thèmes VS Code peuvent exécuter du code et l’éditeur ne dispose pas de contrôles de permissions granulaires. Les dépôts publics ne correspondent pas nécessairement aux builds distribués.
...