- Cuatro extensiones de Open VSX han sido comprometidas para distribuir malware en macOS.
- El malware roba datos sensibles de navegadores, carteras de criptomonedas y el llavero de macOS.
- Las extensiones fueron descargadas 22.000 veces, excluyendo sistemas rusos, lo que sugiere un origen de los atacantes.
La campaña de malware GlassWorm, que inicialmente afectaba a desarrolladores en el marketplace de Visual Studio Code, ha extendido su alcance a alternativas de código abierto. Expertos en seguridad han descubierto cuatro extensiones en Open VSX, un repositorio de extensiones de código abierto y neutral en cuanto a proveedor, que han sido comprometidas para distribuir un infostealer dirigido a usuarios de macOS. Estas extensiones, que inicialmente eran legítimas, fueron actualizadas con el malware el 30 de enero, tras permanecer seguras durante aproximadamente dos años.
Expansión del malware GlassWorm a macOS
Las extensiones afectadas, identificadas como oorzc.ssh-tools v0.5.1, oorzc.i18n-tools-plus v1.6.8, oorzc.mind-map v1.0.61 y oorzc.scss-to-css-compile v1.3.4, comenzaron a distribuir código malicioso. El malware instalado es capaz de sustraer información crítica de los sistemas de los usuarios. La campaña parece estar exclusivamente dirigida a dispositivos macOS, y una pista sobre su origen es la exclusión de sistemas con configuración regional rusa, lo que podría indicar que los atacantes provienen de Rusia.
Detalles del infostealer y su modus operandi
Una vez instalado, el infostealer recopila datos sensibles de navegadores como Firefox y Chromium, carteras de criptomonedas, el llavero de macOS, bases de datos de Notas de Apple, cookies de Safari, secretos de desarrollador y documentos almacenados en el sistema de archivos local. Toda esta información es posteriormente enviada a un servidor controlado por los atacantes. Los investigadores de Socket notificaron a los operadores de Open VSX, la Eclipse Foundation, quienes procedieron a revocar tokens y eliminar las versiones maliciosas de la plataforma.
Riesgos y medidas de mitigación para los usuarios
En total, las extensiones comprometidas acumularon 22.000 descargas, lo que sugiere una campaña de distribución relativamente exitosa. Aunque Open VSX ha tomado medidas para eliminar el malware, los usuarios que hayan descargado estas extensiones aún corren riesgo. Es fundamental que los usuarios afectados eliminen las extensiones de sus sistemas, realicen un escaneo en busca de restos de malware y roten sus credenciales para mitigar completamente los peligros. La extensión oorzc.ssh-tools fue eliminada por completo de Open VSX debido a la presencia de múltiples versiones maliciosas, mientras que otras fueron limpiadas y devueltas a la plataforma.
Recomendaciones de seguridad post-infección
La seguridad en la cadena de suministro de software es crucial, y este incidente subraya la importancia de la vigilancia constante. Los desarrolladores y usuarios deben verificar la procedencia y la actividad reciente de las extensiones que instalan, especialmente aquellas de fuentes menos conocidas. La rápida respuesta de los investigadores y la plataforma Open VSX es un ejemplo positivo, pero la responsabilidad final recae en el usuario para asegurar la limpieza y protección de sus sistemas. Este tipo de ataques a la cadena de suministro de software nos recuerda la importancia de estar informados, tal como se discute en el artículo sobre ciberataques en la cadena de suministro, un riesgo inmanejable para empresas.
Este ataque, que roba datos de navegadores y carteras de criptomonedas, es similar a otros tipos de malware que buscan información sensible. Para protegerse, es crucial mantener el software actualizado y ser cautelosos con las descargas. La gravedad del robo de datos es un tema recurrente en el mundo de la ciberseguridad, como se observa en la noticia sobre el ciberataque a Pornhub que comprometió datos de usuarios Premium.
La necesidad de contraseñas seguras y una gestión adecuada de las mismas es crucial para la seguridad en línea, un tema que aborda el artículo sobre las contraseñas débiles, lo que subraya la importancia de la higiene digital.