GlassWormがネイティブ化：新しいZigドロッパーがマシン上のすべてのIDEに感染

【なぜ重要か】 Aikido Securityが1年以上追跡しているGlassWormマルウェアが、Zigで書かれたネイティブバイナリを使用してVS Code系列のすべてのIDEに感染する新しい手法を開発しました。これまでのJavaScriptベースの攻撃から進化し、開発者のマシン上にあるすべてのIDEを一度に感染させる能力を獲得したため、開発者にとって深刻な脅威となっています。

【ポイント】

• OpenVSXで配布される偽のWakaTime拡張機能「code-wakatime-activity-tracker」にZigでコンパイルされたネイティブバイナリ（win.node、mac.node）が含まれている
• このバイナリはVS Code、Cursor、Windsurf、VSCodium、Positronなどマシン上のすべてのVS Code互換IDEを検出し、それぞれに悪意のある拡張機能を自動インストールする
• 第二段階として、正規の人気拡張機能「autoimport」を装った.vsixファイルをGitHub Releasesからダウンロードし、各IDEのCLIインストーラーを使って静かにインストールする
• インストールされた拡張機能は既知のGlassWormドロッパーで、ロシア系システムを地理的に除外し、SolanaブロックチェーンベースのC2サーバーと通信してデータ窃取やRAT（リモートアクセストロイの木馬）をインストールする
• 証拠隠滅のため、インストール後にダウンロードしたファイルを自動削除する

【まとめ】 開発者のマシン上のすべてのIDEを狙う高度なマルウェア攻撃であり、該当する拡張機能がインストールされている場合は直ちにマシンを感染したものとして扱い、すべてのシークレットをローテーションする必要があります。