ZDU Intel · Ficha de armamento · Malware

GlassWorm

Plataforma: vscode, openvsx

MITRE ATT&CK S901036 técnicas

0indicadores nuevos en 7 días

0en 30 días

0servidores de C2 en 30 días

0ligados a México en 30 días

Indicadores nuevos por día · últimos 14 días

Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.

Qué es

GlassWorm es un gusano autopropagable que infecta extensiones de VS Code en Open VSX y el Marketplace de Microsoft. Esconde el código con selectores de variación Unicode invisibles, dificultando el análisis. Fue reportado por primera vez en octubre de 2025. Sus operadores no están identificados.

Cómo llega

Se distribuye a través de extensiones maliciosas en Open VSX y el Marketplace de Microsoft. Se propaga mediante ataques de cadena de suministro, comprometiendo credenciales de repositorios de víctimas para añadir cargas maliciosas y distribuirlas en ecosistemas de desarrollo.

Qué hace una vez dentro

Roba credenciales de npm, GitHub, Open VSX y git, además de datos de carteras de criptomonedas. Utiliza la cadena de Solana como canal de mando y control. Se propaga mediante ataques de cadena de suministro comprometiendo repositorios de víctimas para distribuirse.

A quién ataca

Desarrolladores que utilizan extensiones de VS Code desde Open VSX y el Marketplace de Microsoft. El gusano compromete credenciales de npm, GitHub, Open VSX y git, así como carteras de criptomonedas de las víctimas afectadas por la infección.

Técnicas de MITRE ATT&CK

Táctica	Técnica	ID
Acceso inicial	Compromise Software Dependencies and Development Tools	T1195.001
Ejecución	AppleScript	T1059.002
Ejecución	JavaScript	T1059.007
Persistencia	Launch Agent	T1543.001
Persistencia	Registry Run Keys / Startup Folder	T1547.001
Persistencia	Compromise Host Software Binary	T1554
Sigilo	Encrypted/Encoded File	T1027.013
Sigilo	Invisible Unicode	T1027.018
Sigilo	Masquerading	T1036
Sigilo	Deobfuscate/Decode Files or Information	T1140
Sigilo	Execution Guardrails	T1480
Sigilo	Hidden Window	T1564.003
Sigilo	Delay Execution	T1678
Acceso a credenciales	Steal Web Session Cookie	T1539
Acceso a credenciales	Keychain	T1555.001
Acceso a credenciales	Credentials from Web Browsers	T1555.003
Descubrimiento	System Information Discovery	T1082
Descubrimiento	System Time Discovery	T1124
Descubrimiento	Browser Information Discovery	T1217
Descubrimiento	Software Discovery	T1518
Descubrimiento	System Location Discovery	T1614
Descubrimiento	System Language Discovery	T1614.001
Recolección	Data from Local System	T1005
Recolección	Local Data Staging	T1074.001
Recolección	Code Repositories	T1213.003
Recolección	Databases	T1213.006
Recolección	Archive via Utility	T1560.001
Recolección	Network Device Configuration Dump	T1602.002
Comando y control	Fallback Channels	T1008
Comando y control	Web Protocols	T1071.001
Comando y control	Internal Proxy	T1090.001
Comando y control	Dead Drop Resolver	T1102.001
Comando y control	Ingress Tool Transfer	T1105
Comando y control	Non-Standard Port	T1571
Impacto	Transmitted Data Manipulation	T1565.002
Impacto	Financial Theft	T1657

Fuente: MITRE ATT&CK v20 (S9010).

Actividad en feeds públicos

Tipo de indicador	Nuevos en 30 días
Servidores de comando y control (IP:puerto)	0
Dominios	0
URLs	0
Hashes de archivos	0

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

← Todo el catálogo de armamento

Inteligencia de Amenazas QMA · Ficha generada a partir de fuentes públicas verificadas (MITRE ATT&CK v20, Malpedia, AlienVault OTX, ThreatFox y URLhaus de abuse.ch), redactada con asistencia de IA y revisada por QMA. Los conteos se actualizan a diario; corte: 12-nov-2026. Los indicadores de entrega pueden ser sitios legítimos comprometidos, por eso aquí solo se cuentan. Mira la infraestructura en el mapa de la War Room de ZDU.