1. De dreigingsgroep GlassWorm verspreidt malware via extensies voor Visual Studio Code, die worden aangeprezen als thema's. Deze extensies bevinden zich op de Visual Studio Marketplace en Open VSX.
2. De campagne werd voor het eerst opgemerkt in oktober 2025 en heeft zich sindsdien verspreid.
3. In totaal werden vier Marketplace-extensies en zes Open VSX-identiteiten onderzocht die verband houden met deze groep thema-extensies.
4. Twee van deze extensies zijn bevestigd als kwaadaardig. Eén daarvan vertoonde een hoge mate van technische connectie met eerdere GlassWorm-activiteit.
5. Coca-Cola Christmas en Aurora Borealis Studio Theme waren twee van deze extensies, met samen meer dan 8.000 installaties op de Marketplace. Hoewel Socket.dev geen actieve payload vond in de geanalyseerde versies, achtte het hun onnodige uitvoerbare functionaliteit als een hoog risico.
6. Open VSX-vermeldingen binnen de cluster trokken tienduizenden downloads.
7. Aurora Nocturne Night Theme bevatte een Windows-downloader, ondanks dat het publieke repository functioneel leek als thema. De uitvoerbare JavaScript-code was sterk versluierd, gecomprimeerd en bevatte een payload versleuteld met onzichtbare Unicode-tekens.
8. Na het decoderen van de verborgen instructies, downloadde de extensie inhoud die door de aanvaller werd beheerd en voerde deze uit zonder zichtbaar commandovenster. Dit mechanisme stelt aanvallers in staat de volgende downloadlocatie te wijzigen zonder een nieuwe extensieversie te publiceren.
9. Cosmic Express Themes leverde de GlassWorm-connectie; de geanalyseerde Marketplace-versie ontsleutelde en voerde ingebedde JavaScript onmiddellijk uit met AES-256-CBC-encryptie.
10. De herstelde loader vermeed systemen met Russische taal- of tijdzone-instellingen en raadpleegde Solana blockchain-transactiememo's voor aanvullende payload-infrastructuur. Het gedeelde blockchain-adres, de encryptiesleutel en het uitvoeringspatroon kwamen overeen met eerder gedocumenteerde GlassWorm-activiteit.
11. De discrepantie tussen de publieke broncode en het geïnstalleerde pakket kan ertoe leiden dat de dreiging gemist wordt bij het beoordelen van alleen de repository. Eerdere kwaadaardige extensies met iconenthema's vertoonden een patroon van normale visuele gedragingen met verborgen malware-uitvoering. Bekende commerciële branding en namen van thema's werden gebruikt om verdachte pakketten geloofwaardig te laten lijken.
12. Git-geschiedenissen verbonden verschillende projecten via gedeelde bijdragers, dezelfde themadefinitities, terugkerende Russische commentaren en hergebruikte welkomstpagina-code.
13. Op 6 december 2025 vonden er binnen ongeveer drie uur vijf commits plaats met dezelfde tijdzone-offset.
14. Op 14 december 2025 werd een artikel gepromoot dat verschillende gekoppelde thema's aanprees als onafhankelijke aanbevelingen; het account van de publicatie werd die dag aangemaakt. Het artikel werd beoordeeld als promotionele infrastructuur voor de operatie, gezien het bredere ontwikkelingsbewijs.
15. Gedeeld ontwikkelingsbewijs bewijst niet dat elk publisher-account tot één individu behoort, noch dat elke gerelateerde versie actief kwaadaardig is.
16. Eerdere meldingen over GlassWorm in ontwikkelaarstools wezen op diefstal van inloggegevens en persistente toegang.
17. Microsoft heeft de gemelde Marketplace-extensies na melding verwijderd.
18. Verwijdering van een extensie uit de marktplaats reinigt geen geïnstalleerde kopieën. Het verwijderen van een extensie kan geen acties ongedaan maken die zijn uitgevoerd door vervolgpayloads.
19. Socket raadt aan om de geïnstalleerde pakketten te inspecteren, inclusief activeringsinstellingen, gebundelde scripts, netwerktoegang, proceslanceringen en runtime-decryptie.
20. Organisaties die te maken hebben met bevestigde kwaadaardige extensies moeten verdere uitvoering en potentieel blootgestelde inloggegevens onderzoeken.
21. Een host waarop het gedownloade command script werd uitgevoerd, moet als potentieel gecompromitteerd worden beschouwd.