蠕蟲程式GlassWorm於Open VSX市集從事新一波攻擊，濫用延伸套件相依性躲過套件審核流程
攻擊背景與發展
去年出現於VS Code延伸套件市集、Open VSX套件儲存庫的蠕蟲程式GlassWorm，迄今已出現4波攻擊活動，現在有資安公司指出，駭客在最新一波活動裡調整攻擊策略，使得市集的上架審查機制難以察覺有異。
攻擊手法與機制
攻擊者透過惡意套件散佈GlassWorm，並濫用延伸套件之間的相依性，讓惡意套件能隱藏在合法套件的依賴鏈中，進而躲過套件審核流程。
資安業者Koi Security發現，惡意套件被下載次數已接近1萬次，顯示攻擊影響範圍廣泛。
相關調查與回應
經營Open VSX的Eclipse基金會已公佈調查結果，指出攻擊者濫用的權杖源自開發人員在Visual Studio Code（VS Code）延伸套件中設定的權限，導致惡意套件得以被上架並廣泛分發。
儘管Eclipse基金會於10月21日完成初步清理，但攻擊者仍於數週後再度上架新的惡意套件，顯示其持續性與隱蔽性。
未來風險與建議
- 開發人員應審慎檢查延伸套件的權限設定與依賴關係。
- 開發工具平臺需強化套件審核機制，並建立更嚴格的上架規範。
- 使用者應定期更新套件，並啟用安全警示功能以避免感染。