Güvenlik araştırmacıları tarafından Cuma günü yapılan bir açıklamaya göre, 151'den fazla GitHub deposu, insan gözüyle fark edilmesi imkansız olan özel Unicode karakterleri kullanarak zararlı kod yerleştiren Glassworm adlı bir tehdit aktörü tarafından ele geçirildi. Bu saldırıların Mart ayının ilk haftasında yoğunlaştığı ve daha sonra npm ve VS Code mağazasını da kapsayacak şekilde genişlediği bildirildi.
Kullanılan teknik, Unicode'un "Özel Kullanım Alanı" karakterlerini hedef alıyor. Bu karakterler, birçok kod editörü ve terminalde sıfır genişlikli boşluk olarak görünüyor. Bu sayede, bir geliştiricinin kod incelemesi sırasında bu zararlı kodlar gözden kaçıyor. Ardından, gizlenmiş küçük bir çözümleyici (decoder), bu gizli kodları alıp "eval()" fonksiyonuna ileterek tam teşekküllü bir zararlı yazılımın çalıştırılmasını sağlıyor.
Glassworm'un önceki saldırılarında, zararlı yazılımın ikinci aşama bir betik çektiği ve bu betiğin Solana blockchain'ini komuta ve kontrol kanalı olarak kullandığı biliniyor. Bu sayede kullanıcıların jetonları, kimlik bilgileri ve sırları çalınabiliyor.
Araştırmacılara göre, tespit edilen 151 depo muhtemelen toplam etkilenen depo sayısının küçük bir kısmını oluşturuyor, çünkü birçok depo araştırma yayınlanmadan önce silinmiş. Saldırıların hedef aldığı önemli depolardan bazıları Wasmer, Reworm ve OpenCode ile SST'nin arkasındaki Anomalyco gibi kuruluşlara ait. Aynı çözümleyici kalıbı, Mart ayında yüklenen en az iki npm paketi ve bir VS Code eklentisinde de tespit edildi.
Bu son Glassworm kampanyası, önceki sürümlerine göre daha zorlu bir karşı önlem süreci gerektiriyor. Çünkü zararlı kodlar, bariz şüpheli kod değişiklikleri yerine, "hedeflenen her proje ile stilistik olarak tutarlı" görünen sürüm güncellemeleri ve küçük refactoring'ler şeklinde gizleniyor. Araştırmacılar, bu tür değişikliklerin, büyük dil modelleri kullanılarak otomatik olarak üretildiğini düşünüyor. Zira farklı kod tabanlarında manuel olarak 151 adet özelleştirilmiş kod değişikliği yapmak pratik olarak mümkün görünmüyor.
Glassworm'un bu görünmez Unicode tekniğini kullanmaya en azından Mart 2025'ten beri aktif olduğu biliniyor. O tarihte, zararlı npm paketlerinde bu teknik ilk kez tespit edilmişti. Ekim ayına gelindiğinde ise aynı aktörün Open VSX eklenti kayıt defteri ve GitHub depolarına sızdığı görülmüştü. Daha önceki bir araştırmada ise grubun, solucanı daha fazla yaymak için çalıntı npm, GitHub ve Git kimlik bilgilerini kullandığı ve kodların çözülmesinin ardından gizli VNC sunucuları ve SOCKS proxy'leri dağıttığı ortaya çıkmıştı. Solana tabanlı altyapı, blockchain işlemlerinin değiştirilememesi veya silinememesi nedeniyle saldırıları kaldırmayı zorlaştırıyor.
Araştırmacılar, projelere entegre etmeden önce paket isimlerini ve bağımlılıklarını dikkatlice incelemeyi ve otomatik araçlar kullanarak görünmez Unicode karakterlerini taramayı öneriyor. Çünkü görsel kod incelemesi bu tür saldırılara karşı tek başına yeterli koruma sağlamıyor.
