افشای توکن‌ها در Open VSX دردسرساز شد

پلتفرم متن‌باز Open VSX پس از سوءاستفاده مهاجمان از توکن‌های فاش‌شده و انتشار افزونه‌های آلوده، تمام دسترسی‌ها را لغو و توکن‌ها را تعویض کرد.

به گزارش افتانا، پلتفرم Open VSX اعلام کرده که پس از لو رفتن توکن‌های دسترسی در مخازن عمومی و سوءاستفاده مهاجمان از آن‌ها برای انتشار افزونه‌های مخرب، تمام توکن‌ها را تعویض کرده است. ماجرا از جایی شروع شد که پژوهشگران شرکتWiz در بررسی‌های خود متوجه شدند بیش از ۵۵۰ کلید دسترسی (توکن) در مخازن توسعه‌دهندگان فاش شده‌اند؛ کلیدهایی که به گفته آن‌ها، می‌توانستند دسترسی مهاجمان به پروژه‌هایی با بیش از ۱۵۰ هزار دانلود را فراهم کنند. در نتیجه، خطر جایگزینی افزونه‌های سالم با نسخه‌های آلوده کاملاً واقعی بود.

Open VSX که زیر نظر بنیاد Eclipse فعالیت می‌کند، نسخه‌ای متن‌باز و مستقل از بازار افزونه‌های مایکروسافت است. این پلتفرم برای پروژه‌هایی مثلCursor و Windsurf که نمی‌توانند از بازار رسمی VS Code استفاده کنند، افزونه‌های سازگار ارائه می‌دهد.

چند روز پس از افشای این توکن‌ها، مهاجمان با استفاده از برخی از آن‌ها کمپین بدافزاری جدیدی به نامGlassWorm را اجرا کردند. طبق گزارش شرکت Koi Security، این بدافزار درون کاراکترهای نامرئی یونیکد پنهان شده بود و هدفش سرقت اطلاعات ورود توسعه‌دهندگان و دسترسی به پروژه‌های دیگر بود. همچنین مشخص شد GlassWorm داده‌های مربوط به کیف‌پول‌های رمزارزی در ۴۹ افزونه را هدف گرفته است، موضوعی که نشان می‌دهد هدف اصلی حمله، کسب سود مالی بوده است.

با این حال، تیم Open VSX و بنیاد Eclipse تأکید کرده‌اند که GlassWorm برخلاف برخی گزارش‌ها، بدافزار خودتکثیرشونده نبوده است: کد آلوده برای سرقت اطلاعات توسعه‌دهندگان طراحی شده بود، اما خودش به‌طور خودکار در سیستم‌ها یا دستگاه کاربران پخش نمی‌شد. به گفته‌ آن‌ها، آمار ۳۵ هزار دانلود افزونه‌های آلوده هم واقعی نیست و بخشی از آن حاصل دانلودهای تقلبی توسط ربات‌ها بوده است.

مسئولان پروژه می‌گویند بلافاصله پس از گزارش حادثه، تمام افزونه‌های مخرب تا ۲۱ اکتبر حذف و تمام توکن‌های مرتبط لغو یا جایگزین شدند. حمله در حال حاضر کاملاً مهار شده و هیچ نشانه‌ای از ادامه فعالیت آن وجود ندارد.

بنیاد Eclipse برای جلوگیری از تکرار این اتفاق، مجموعه‌ای از تغییرات امنیتی از جمله کوتاه‌تر کردن زمان اعتبار توکن‌ها برای کاهش ریسک در صورت افشا، طراحی روند سریع‌تر برای لغو توکن‌های لو رفته، اسکن خودکار امنیتی افزونه‌ها هنگام انتشار و همکاری با مایکروسافت و دیگر بازارهای افزونه برای تبادل اطلاعات تهدیدها را در دست اجرا دارد.

در همین حال، شرکت Aikido گزارش داده که عاملان GlassWorm پس از ناکامی در Open VSX، حالا به GitHub مهاجرت کرده‌اند و با همان روش پنهان‌سازی در کاراکترهای یونیکد، در حال آلوده‌کردن پروژه‌های جدید، به‌ویژه در مخازن جاوااسکریپت، هستند. این موضوع نشان می‌دهد که گروه مهاجم هنوز فعال است و به‌سرعت از یک پلتفرم متن‌باز به پلتفرم دیگر کوچ می‌کند تا فعالیت خود را ادامه دهد.